-
-
[原创]CF驱动读写开源。不需要开线程就可以直接读出来真实的数据。
-
发表于: 2018-10-26 21:20
-
这个东西也不是什么难的东西。很简单。我现在 还在想如何解决 模式的问题。如果是内核模式（ KernelMode ）就可以读到正确的数据。如果是用户模式(UserMode)读出来的数据是错误的。不明白这个是为什么。还希望个位大佬...指点。该驱动支持WIN7 - WIN10 不支持WeGame 运行游戏 WeGame 也有保护对游戏
并且好像不是TP.用WeGame启动游戏 好像是启用了 Inter TLB缓存。导致CShell.dll的数据读出来的都是错误的。下边是游戏测试图。
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
最后于 2018-10-26 21:22
被BDBig编辑
，原因：
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
可以用的。测试了已经。不用找到CR3就可以读。我的目的是恢复页表。你说的大部分数据读不到 我就是怀疑是 Inter TLB |
|
|
WIN10也一样的。不过不适用新版本的WIN10 1803 1809。那个版本基本没保护 没搞明白 线程回调是什么 具体是哪个...
最后于 2018-10-27 16:58
被BDBig编辑
，原因：
|
|
|
不算多。很少的 |
|
|
|
|
|
|
|
|
|
|
|
这种方法并没有凉。都是挂靠。但是做的事情 不一样。CF不检测挂靠的哇 我现在都怀疑 TP连CR3发生切换的时候 都不检测。挂靠说白了 就是CR3的切换。TSS会有记录的 还有一个严重的问题。TP有BUG 会导致一断代码直接死了。那段代码 是检测特征的。我触发了这个BUG 确实发现 原来拉闸的外挂 我玩了 一晚上 打的排位 都没有封号。这是最假的
最后于 2018-10-27 21:49
被BDBig编辑
，原因：
|
|
|
这方式没凉你是认真的么。
|
|
|
|
|
|
要是凉了。。。我开源什么呀。win7 - win10 都测试了。你可以试试看呀 
|
|
|
|
|
|
呦西感谢大兄弟我开源精神
|
|
|
|
|
|
|
|
|
|
刘铠文
