-
-
未解决 [求助]某游戏的进程保护，求大神看看
-
发表于: 2020-3-25 14:10
-
现象：
1.在Win7 x64下，该游戏进程用OpenProcess打开句柄失败。2.任务管理器看不到进程的用户名和详细描述。
3.PChunter看到有进程和线程ob回调。
我的尝试：
1.我检查了游戏有没有对ce做应用层的IAT和Inline hook，发现没有看到。
2.用ark工具把
进程和线程回调 恢复了，仍然无法打开句柄。
3.我没有开VT，并且尝试去读取msr里面的kisystemcall64地址，发现没有被修改。
4.检查了EPROCESS结构中的
ProtectedProcess 成员，发现没有被修改。
自己懂的一点小套路全试玩了，，只好求大神提供思路了。。
再补充一点：这个游戏在win10 x64下是没有这个保护的。。
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
obj钩子就是pchunter里面的内核钩子是吧，我不知道这个怎么叫，应该就是我说的进程和线程回调，他还有创建进程 创建线程 和加载模块的回调，我全都恢复了。。还是不行，，我觉得它一定还有其他地方做了什么。。。我实在不知道是处理了哪里，内核里面也没有扫到inline hook。。 |
|
|
|
|
|
具体怎么弄啊老哥 |
|
|
|
|
|
啥叫底层有jmp啊 |
|
|
|
|
|
|
|
|
|
|
|
大神，那个对象钩子和句柄回调是一个东西吗？就是pchunter 的“object钩子”选项卡里面的吗？句柄表篡改是指获取到游戏句柄后，游戏不断扫描所有进程的的句柄表，篡改掉和自己有关的句柄吗？但是我的现象是句柄打开的时候直接就失败了，应该不是这种。还有系统调用返回r3时候的钩子是什么呀？ |
|
|
我刚刚看了一下系统的CkclWmiLoggerContext+0x28处，得到的数值是0，请问是否说明没有进行 infiity hook呢？ |
|
|
不好意思，刚刚看的那个帖子使用的win10的偏移量，我搞错了，win7上是0x18，这个函数指针确实指向了游戏驱动模块的地址，很有可能就是用了infiity hook了，在infiity hook科普帖子里看到您有问如何禁止ETW，请问您现在找到什么方法处理这个hook了吗？非常感谢 |
|
|
|
|
|
不是一回事 那个钩子是InstrumentationCallback |
|
|
那就学习hzqst 冲了它啊 2345驱动占坑第四层 微软第五层 你搞个第六层 |
|
|
谢谢大神解答，我看了InstrumentationCallback，还有一个疑问想请教下，这个hook方式是在一个进程的Kprocess中改写函数指针，那么hook是不是只针对这个被修改的进程呢，还是说是全局的 |
