-
-
[原创]某南极动物厂AceXGame_sys_23.sys之InfinityHook （传统艺能copy-paste他来了）
-
发表于: 2020-4-7 12:58
-
还顺带支持vista我是没想到的
上集回顾：
https://bbs.pediy.com/thread-258352.htm
从LOL玩家那边找到了不明驱动，不知道为什么笔者电脑上没有
有一说一2345也要占ifhook这个坑，
他不怕我2345的吗？
dump出来修复IAT之后
搜索一下sig，参考上集
2345Base.sys!IfhpModifyTraceSettings
Property->Wnode.Flags = WNODE_FLAG_TRACED_GUID;
C7 ?? 2C 00 00 02 00
在AceXGame里也能直接搜到，而且唯一
貌似vmp的mutant效果不太行啊，F5还是直接出结果了
根据宏定义
#define EVENT_TRACE_FLAG_SYSTEMCALL 0x00000080 // system calls
#define EVENT_TRACE_FLAG_MEMORY_PAGE_FAULTS 0x00001000 // system calls
#define EVENT_TRACE_FLAG_CSWITCH 0x00000010 // system calls
#define EVENT_TRACE_FLAG_SYSTEMCALL 0x00000080 // system calls
#define EVENT_TRACE_FLAG_MEMORY_PAGE_FAULTS 0x00001000 // system calls
#define EVENT_TRACE_FLAG_CSWITCH 0x00000010 // system calls
我们可以看到它可选择监控三种事件
其中Ace_CSwitchPerLogEnable没有看到xref，应该是代码写一半注释掉了
猜测是南极动物厂的人想把hook kipagefault+fake cr3换成无需passpg的套路结果发现不行于是就删了
xref Ace_SyscallPerfLogEnable能看到三个引用，其中第一个是设置开启syscall监控的，第二个就是刚刚的modifytracesettings
第三个是接管syscall的handler函数
为什么这么说呢？因为
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
最后于 2020-4-7 14:59
被hzqst编辑
，原因：
