[分享]分享一个api防截图的“优化方法”-编程技术-看雪安全社区

[分享]分享一个api防截图的“优化方法”

发表于: 2020-4-14 22:17 26318

[分享]分享一个api防截图的“优化方法”

renbohan

2020-4-14 22:17

26318

~~第一次发帖，有些紧张~~

# 来源

github上的一个项目 <a href="elink@93cK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6%4L8$3&6Y4k6X3g2A6i4K6u0r3N6$3c8S2i4K6g2X3L8h3!0F1K9i4c8G2M7W2)9#2k6Y4c8J5K9h3y4C8">wda_monitor_trick</a>

![demo jpg](upload/attach/202004/751959_5W3FBAU5ZACBY44.jpg)

# 介绍

我们在小学四年级学过，有一个叫做 `SetWin***Dis****Affi****` 的winapi可以帮助保护窗口内的内容不被其他恶意软件截图

但同样存在问题，调用这个api过后，我们窗口部分在截图下就会显示成丑陋的黑色，恶意软件截图时发现我们的程序是一坨黑，就会气急败坏，从而产生严重的后果

如何能够避开恶意软件的气急败坏呢？<a href="elink@0c3K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6%4L8$3&6Y4k6X3g2A6i4K6u0r3N6$3c8S2i4K6g2X3L8h3!0F1K9i4c8G2M7W2)9#2k6Y4c8J5K9h3y4C8">wda_monitor_trick</a> 提供了一个极好的思路

# 分析
来到`c:/windows/system32/` 拷贝出 `dwmcore.dll`

通过IDA打开并自动加载符号(需科学花Q)，忽略一大堆依赖项

在函数窗口搜索 `renderblack` 可找到函数 `CWindowNode::RenderBlackShape(CDrawingContext *,CShape const &)`

```
.text:000000018021A60C                               ; int CWindowNode::RenderBlackShape(CWindowNode *__hidden this, struct CDrawingContext *, const struct CShape *)
.text:000000018021A60C                               ?RenderBlackShape@CWindowNode@@AEAAJPEAVCDrawingContext@@AEBVCShape@@@Z proc near
.text:000000018021A60C                                                                       ; CODE XREF: CWindowNode::RenderContent(CDrawingContext *,bool *)+9B695↑p
.text:000000018021A60C                                                                       ; CWindowNode::RenderBlackContent(CDrawingContext *)+AC↑p
.text:000000018021A60C                                                                       ; DATA XREF: ...
.text:000000018021A60C
.text:000000018021A60C                               var_18          = dword ptr -18h
.text:000000018021A60C                               var_10          = qword ptr -10h
.text:000000018021A60C                               arg_0           = qword ptr  8
.text:000000018021A60C
.text:000000018021A60C 48 89 5C 24 08                                mov     [rsp+arg_0], rbx
.text:000000018021A611 57                                            push    rdi
.text:000000018021A612 48 83 EC 30                                   sub     rsp, 30h
.text:000000018021A616 49 8B C0                                      mov     rax, r8
.text:000000018021A619 48 8B FA                                      mov     rdi, rdx
.text:000000018021A61C 48 8B D0                                      mov     rdx, rax        ; struct CShape *
.text:000000018021A61F 4C 8D 05 A2 AE 0C 00                          lea     r8, stru_1802E54C8 ; struct _D3DCOLORVALUE *
.text:000000018021A626 48 8B CF                                      mov     rcx, rdi        ; this
.text:000000018021A629 E8 FA 58 F5 FF                                call    ?FillRectangularShapeWithColor@CDrawingContext@@QEAAJAEBVCShape@@AEBU_D3DCOLORVALUE@@@Z ; CDrawingContext::FillRectangularShapeWithColor(CShape const &,_D3DCOLORVALUE const &)
.text:000000018021A62E 8B D8                                         mov     ebx, eax
.text:000000018021A630 85 C0                                         test    eax, eax
.text:000000018021A632 78 09                                         js      short loc_18021A63D
.text:000000018021A634 C6 87 D3 18 00 00 01                          mov     byte ptr [rdi+18D3h], 1
.text:000000018021A63B EB 1B                                         jmp     short loc_18021A658
.text:000000018021A63D                               ; ---------------------------------------------------------------------------
.text:000000018021A63D
.text:000000018021A63D                               loc_18021A63D:                          ; CODE XREF: CWindowNode::RenderBlackShape(CDrawingContext *,CShape const &)+26↑j
.text:000000018021A63D 48 83 64 24 28 00                             and     [rsp+38h+var_10], 0
.text:000000018021A643 44 8B CB                                      mov     r9d, ebx        ; int
.text:000000018021A646 45 33 C0                                      xor     r8d, r8d        ; unsigned int
.text:000000018021A649 C7 44 24 20 57 0C 00 00                       mov     [rsp+38h+var_18], 0C57h ; unsigned int
.text:000000018021A651 33 D2                                         xor     edx, edx        ; int *
.text:000000018021A653 E8 A4 68 E4 FF                                call    ?MilInstrumentationCheckHR_MaybeFailFast@@YAXKQEBJIJIPEAX@Z ; MilInstrumentationCheckHR_MaybeFailFast(ulong,long const * const,uint,long,uint,void *)
```

![demo jpg](upload/attach/202004/751959_A5ADHAU6QGPBPW9.jpg)

注意到红框内调用了`CDrawingContext::FillRectangularShapeWithColor`,这也是原作者patch的点，直接将`dwm.exe`绘制黑框框的行为给拦截掉

通过简单的特征搜索patch，再通过api的方式防截图，用普通截图工具就已经截不到黑框框了

# 优点与局限性

优点就是简单，方便，可动态patch

但是这种方法会将所有的使用api防截图的窗口全部隐藏掉，而不能只针对具体的某个窗口进行隐藏

# 兼容win7

同样，刚才的特征码只适合于win10 1903以上的系统，在win7上无法使用，通过对win7的`dwmcore.dll`简单分析后，发现一个疑似和 `RenderBlackShape` 功能相似的符号 `CWindowNode::RenderBlackImage(CDrawingContext *)`

![demo jpg](upload/attach/202004/751959_Y39FM2YSF6KQ7VW.jpg)

发现该函数是由`CWindowNode::RenderContent`调用的

![demo jpg](upload/attach/202004/751959_9SS5ZE2NUXUZGZK.jpg)

我没有兼容`win7`，如果有大神比较闲可以适配分享一下哈哈

# 恶意软件如何继续气急败坏

这种方法也只是dwm.exe上的一个小把戏，windows也提供了api可以获取任意窗口的防截图状态(`GetWin***Dis***Affi***`)，所以这种方法也仅供参考，无实际应用价值，不过拿来玩玩装逼还是不错的哈哈！

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

收藏・55

点赞・4

打赏

最新回复 (11)
月落之汀雪币： 5977 活跃值： (2843) 能力值： ( LV4，RANK：156 ) 在线值：发帖 6 回帖 162 粉丝 13 关注私信	月落之汀 1 2 楼气急败坏 2020-4-14 22:54 1
killpy 雪币： 83 活跃值： (1587) 能力值： ( LV8，RANK：130 ) 在线值：发帖 35 回帖 663 粉丝 50 关注私信	killpy 2 3 楼那问题来了有啥好的反截图检测思路吗 2020-4-15 00:27 0
renbohan 雪币： 458 活跃值： (1935) 能力值： ( LV3，RANK：30 ) 在线值：发帖 9 回帖 41 粉丝 46 关注私信	renbohan 4 楼 killpy 那问题来了有啥好的反截图检测思路吗就像我最后说的那样，你可以SetDisplayAffinity，其他进程也可以GetDisplayAffinity，稍微流氓点的AntiCheat发现这样的窗口就直接认为你作弊了 2020-4-15 08:04 0
pysafe 雪币： 1310 活跃值： (6150) 能力值： ( LV3，RANK：20 ) 在线值：发帖 6 回帖 120 粉丝 13 关注私信	pysafe 5 楼到底谁是恶意软件啊~ 2020-4-15 09:48 2
hzqst 雪币： 13006 活跃值： (10062) 能力值： ( LV9，RANK：280 ) 在线值：发帖 48 回帖 1817 粉丝 657 关注私信	hzqst 3 6 楼叶惠到底谁是恶意软件啊~ 恶人先告状 2020-4-15 10:00 0
killpy 雪币： 83 活跃值： (1587) 能力值： ( LV8，RANK：130 ) 在线值：发帖 35 回帖 663 粉丝 50 关注私信	killpy 2 7 楼听说调用dwm的某个函数就可以郭截图根本不需要hook 怎么做到的 2020-4-16 01:58 0
saloyun 雪币： 2144 活跃值： (5278) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 272 粉丝 4 关注私信	saloyun 9 楼 mark 2020-12-17 20:26 0
spring丶必应雪币： 0 活跃值： (1136) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 16 粉丝 0 关注私信	spring丶必应 10 楼请问自动加载符号是什么插件？ 2022-7-15 21:48 0
starxnx 雪币： 538 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 24 粉丝 0 关注私信	starxnx 11 楼学习了 2024-7-14 17:54 0
poner7 雪币： 74 活跃值： (510) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 59 粉丝 0 关注私信	poner7 12 楼小学四年级学习winapi 真有你的 2025-12-10 12:52 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

renbohan

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (11)
月落之汀雪币： 5977 活跃值： (2843) 能力值： ( LV4，RANK：156 ) 在线值：发帖 6 回帖 162 粉丝 13 关注私信	月落之汀 1 2 楼气急败坏 2020-4-14 22:54 1
killpy 雪币： 83 活跃值： (1587) 能力值： ( LV8，RANK：130 ) 在线值：发帖 35 回帖 663 粉丝 50 关注私信	killpy 2 3 楼那问题来了有啥好的反截图检测思路吗 2020-4-15 00:27 0
renbohan 雪币： 458 活跃值： (1935) 能力值： ( LV3，RANK：30 ) 在线值：发帖 9 回帖 41 粉丝 46 关注私信	renbohan 4 楼 killpy 那问题来了有啥好的反截图检测思路吗就像我最后说的那样，你可以SetDisplayAffinity，其他进程也可以GetDisplayAffinity，稍微流氓点的AntiCheat发现这样的窗口就直接认为你作弊了 2020-4-15 08:04 0
pysafe 雪币： 1310 活跃值： (6150) 能力值： ( LV3，RANK：20 ) 在线值：发帖 6 回帖 120 粉丝 13 关注私信	pysafe 5 楼到底谁是恶意软件啊~ 2020-4-15 09:48 2
hzqst 雪币： 13006 活跃值： (10062) 能力值： ( LV9，RANK：280 ) 在线值：发帖 48 回帖 1817 粉丝 657 关注私信	hzqst 3 6 楼叶惠到底谁是恶意软件啊~ 恶人先告状 2020-4-15 10:00 0
killpy 雪币： 83 活跃值： (1587) 能力值： ( LV8，RANK：130 ) 在线值：发帖 35 回帖 663 粉丝 50 关注私信	killpy 2 7 楼听说调用dwm的某个函数就可以郭截图根本不需要hook 怎么做到的 2020-4-16 01:58 0
saloyun 雪币： 2144 活跃值： (5278) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 272 粉丝 4 关注私信	saloyun 9 楼 mark 2020-12-17 20:26 0
spring丶必应雪币： 0 活跃值： (1136) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 16 粉丝 0 关注私信	spring丶必应 10 楼请问自动加载符号是什么插件？ 2022-7-15 21:48 0
starxnx 雪币： 538 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 24 粉丝 0 关注私信	starxnx 11 楼学习了 2024-7-14 17:54 0
poner7 雪币： 74 活跃值： (510) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 59 粉丝 0 关注私信	poner7 12 楼小学四年级学习winapi 真有你的 2025-12-10 12:52 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复