-
-
[原创]发现最近好多在说T*启动时清空CR3 如何去恢复。方法很简单。我把代码今天贴出来。
-
发表于: 2018-12-4 23:47
-
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
这东西肯定是被安排的。但是为啥没安排。我都感觉是T*在放水 |
|
|
|
|
|
我换了1809 就不存在着问题了。哈哈。清PTE的我在DXF没有发现。到是CF这样的黄昏游戏 竟然清掉了 |
|
|
 当场逮捕，这只是鹅厂员工没把事情做绝吧，毕竟都接管msr了，话说这方法应该被安排的明明白白了吧
|
|
|
|
|
|
OE都接管。肯定呀。这种方法 没有被安排。。鹅场不想管。我现在上游戏看见外挂都恶心。现在大部分的读写的玩意都是注入。注入shellcode。这东西也不知道啥时间管。据悉市场价 CF : 800一月。APC注入shellcode.DXF 3 - 4K /月 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
1809的安排pg，鹅厂还没搞稳定，大概是这个原因 |
|
|
你说的是高版本的的WIN10 像我这种的万年不更新的 接管了。 |
|
|
线程回掉 最后你一样要拉OB站坑。为什么占坑 和 恢复页表一体呢。又少了写了一个线程回掉的代码 |
|
|
估计等他搞稳定了。微软在拉一波更新。哈哈。据说现在某大手子 的调试器 只支持没有挂MSR 和 IDT版的WIN10 WIN7。随便问一下。pte清空了 能不能不备份就给恢复呢？或者反清空 |
|
|
我获取到真实页表 KeAttach进去 访问游戏内存 此时pte因为被清0 会触发异常 进入idt tp此时应该能给我放行吧 |
|
|
win7上这东西是没有用滴
|
|
|
W7没用开玩笑。看懂什么意思了吗？你以为只是一个OB吗？看清楚里边的代码亲。
PULONG64 Fake_PTML4 = Mapped_Memory_Addr(*(PULONG64)((ULONG64)pe + 0x28), 0x1000, 0); PULONG64 True_PTML4 = Mapped_Memory_Addr(__readcr3(), 0x1000, 0); if (Fake_PTML4[0] != True_PTML4[0]) { _disable(); if (Fake_PTML4 != NULL && True_PTML4 != NULL) { RtlCopyMemory(Fake_PTML4, True_PTML4, 0x1000); } MmUnmapIoSpace(Fake_PTML4, 0x1000); MmUnmapIoSpace(True_PTML4, 0x1000); _enable(); 核心代码看清楚
最后于 2018-12-6 17:26
被BDBig编辑
，原因：
|
|
|
|
|
|
呦西前辈给提了个醒以后如果不能读写或许能考虑你这个建议 |
|
|
|
hzqst
刘铠文
