-
-
通过重写API让鼠标模拟无法被HOOK和检测到
-
发表于: 2018-4-21 19:12
-
大家都知道window就是一个封闭的黑盒子,在我们没有window源码的情况下我们只能通过hook达到改变api流程的目的,在windows下的hook有很多种：比如 lnlinehook，系统消息hook等，SSDT hook（win10下我们不用考虑这个）当然在用户层我们最常用也是最好用的还是lnlinehook，通过索引API地址重新构建自己的hook函数达到一些目的，这里说的就如何不让hook成功以达到攻防的目的。
首先我们先编写一个鼠标按下的代码,当然你也可以重写其他API,我们的重点是重写API,而不是过鼠标检测
然后编译,当然我们要重写必须要知道它内部干了什么
我们可以用OD打开编译好的程序
这样肯定不行,进入之后我们第一步肯定要找到自己写的代码
怎么找呢？这里又要把逆向知识补充了~~
注意刚才我们写了一个sleep函数，这里直接按暂停肯定是断在sleep上的
然后查看调用堆栈,我们要找到最外层调用的地方肯定就是地址最小的堆栈00f93f79了,点击调用来自
直接双击点进去的就来到我们的代码了 直接到mouse_event然后跟进去
这里可以看到mouse_event实际上就是调用的UsersendInput
继续跟踪进到NtUsersendInput(),这里我们就可以看到api索引号，
我们继续跟进可以看到Wow64Transition 32位转64位模式的地方
继续跟进直接就远跳了 这种长度很明显就是用户层切换到内核层的地址了,再调用int2rh或sysenter中断指令 进入系统exe和内核ZW函数通信完成参数检查 ，在调用内核NT函数完成微软API的调用，这里我们就说R3的处理,R0是R0处理的事情
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
最后于 2019-2-2 10:16
被admin编辑
，原因： 图片本地化
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
真水
|
|
|
那就没有办法了
|
|
|
哪里水了...... |
|
|
有啊,vt对付呀...用户不开vt就也效仿某公司xxpg,然后大肆hook啊- -||,哎呦..不装了,装不下去了 |
|
|
小弟觉得吧,标题应该叫 通过syscall让r3apihook无效(x86) |
|
|
说得对 
|
|
|
|
|
|
我感觉任何开发者都不会拿真实鼠标一起检测 |
|
|
|
|
|
对啊...就这回事 |
|
|
|
|
|
|
|
|
没有这种游戏 |
|
|
我是没遇到过 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
怎么用全局消息钩子 拦截NT函数? 求指点 |
|
|
|
万剑归宗
hzqst
hekes
