-
-
[原创]游戏安全之借坡下驴
-
发表于: 2022-5-18 05:29
-
exp： https://github.com/HadesW/mhy_exp
注：《借坡下驴》凭借有利的地势下驴。比喻利用有利条件行事。
之前有介绍《借刀杀人》，指的是利用高权限的系统进程。这次《借坡下驴》，是利用了某游戏本身的驱动保护程序。
此文主要是记录分析某款游戏驱动保护的r3-r0通讯算法。因为文章整理于作者2020年10月份左右的笔记，有点流水账，分析和利用的样本大概是2020年8月-9月份左右的。
样本文件详情如下：
文件名：xxxxxxxx.sys
大小: 1269880 bytes
修改时间: 2020年9月29日, 12:27:38
最开始，作者只是简单的关注了此驱动读写任意进程的功能。所以这里自底向上分析，通过基本的内核API分析其参数，然后查看其调用方如何把IoBuffer解析传入。
分析完后，其进程读写函数大概如下：
第一层调用：
第二层调用：
第三层调用：
dispatch call : 定位到读写IO码
最后的进程读写结构：
当时我有了读写结构之后，去做了demo调用，发现其通讯的数据是有加解密的，并且很多函数是有VMP过的。所以这里用动静结合的方式来还原算法。
1. 双机调试，下断其入口处，patch掉其反调试。
2. 定位其加解密Key初始化，下断单步，结合IDA观察传入数据的变化。
3. 根据一些经验猜测函数大概功能。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
最后于 2022-5-18 10:41
被HadesW编辑
，原因：
赞赏记录
参与人
雪币
留言
时间
tank小王子
感谢你的积极参与，期待更多精彩内容！
2024-8-12 10:17
freenow
为你点赞~
2023-12-23 16:04
mb_yfioexda
为你点赞~
2023-8-22 11:04
伟叔叔
为你点赞~
2023-3-18 02:24
shishichen
为你点赞~
2023-1-4 22:29
vxyun
为你点赞~
2022-12-2 18:45
xmyxxh
为你点赞~
2022-11-11 01:52
zhczf
为你点赞~
2022-10-13 13:51
zhang_derek
为你点赞~
2022-8-28 00:52
PLEBFE
为你点赞~
2022-7-27 00:40
心游尘世外
为你点赞~
2022-7-26 22:34
飘零丶
为你点赞~
2022-7-17 02:28
夏男人
为你点赞~
2022-6-22 20:02
kira_yamato
为你点赞~
2022-5-23 23:26
大道在我
为你点赞~
2022-5-20 16:12
ZZIISSIN
为你点赞~
2022-5-18 18:22
_DriverEntry
为你点赞~
2022-5-18 11:39
Foodie
为你点赞~
2022-5-18 11:11
imwhite
为你点赞~
2022-5-18 10:01
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
这么好玩。。。是因为这个驱动自带白名单签名的原因吧 稳定无检测
|
|
|
如果mhyprot3还有问题，那以后的mhy系列驱动都不会是白名单文件，现在mhy的驱动貌似已经被几家杀软拉灰了 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
不要怎么，就是，都泛滥了 |
|
|
|
|
|
我的评价是不如顺网读写.sys，那个才叫真·大手子，哪个函数是干嘛的都在函数入口给你log写明白咯 |
|
|
又黑我山总 |
|
|
相信自己，就是 |
|
|
为啥wpm无法写入数据
|
|
|
|
hzqst
