首页
社区
课程
招聘
[已解决] [求助]关于某P线程注入问题 50.00雪花
发表于: 2022-9-17 15:24 7586

[已解决] [求助]关于某P线程注入问题 50.00雪花

2022-9-17 15:24
7586

最近在学内存注入

跟着github上写了一个内存注入,然后用驱动。

大体过程是:

NtWriteProcessMemory NtReadProcessMemory

NtVirtualAllocMemory NtVirtualProtectEx这些函数

在每次执行这些函数的时候,我都把PreviousMode改成0 这也就不会出现权限问题了。

然后在创建远程线程的时候,发现线程起不来,发现TP hook了R3的LdrInitializeThunk(InlineHook),于是在CreateRemoteThread的之前修改了哪个地方的Hook,使他变成原来的shellcode,改完之后马上又改回来那个r3 Hook

但是新问题又出现了,线程只能存在一瞬间,消息框也能弹出来,但是用不了1s,游戏就崩了。

退出码是STATUS_HEAP_CORRUPTION

前面研究的BUG还好说,在自己能力范围内,这个崩溃是真找不到错误了....


[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

收藏
免费 0
支持
分享
最新回复 (11)
雪    币: 206
活跃值: (1991)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
在调用CreateRemoteThread 之前还需要让某P的内核线程钩子失效。
PspNotifyEnableMask 内核中控制回调一个全局变量

_InterlockedAnd(PspNotifyEnableMask, 0xFFFFFFF7); 禁用线程回调
CreateRemoteThread.......
_InterlockedOr(PspNotifyEnableMask, 8u); 还原
2022-9-18 19:49
2
雪    币: 2141
活跃值: (5173)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
3
麦瑞鸭 在调用CreateRemoteThread 之前还需要让某P的内核线程钩子失效。 PspNotifyEnableMask 内核中控制回调一个全局变量 _InterlockedAnd(PspNo ...
好的好的 感谢  我回头试试 如果可以就采纳一下
2022-9-18 21:35
0
雪    币: 206
活跃值: (1991)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
Oxygen1a1 好的好的 感谢 我回头试试 如果可以就采纳一下
好呢,快去试了回来结账我好追加我的提问,之前研究某P,现在研究eac,也是头炸
2022-9-18 21:49
0
雪    币: 2141
活跃值: (5173)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
5
麦瑞鸭 好呢,快去试了回来结账我好追加我的提问,之前研究某P,现在研究eac,也是头炸
那老哥可能要等两天,我这两天开学 有点忙 20号 21号给你回复
2022-9-19 07:14
0
雪    币: 2141
活跃值: (5173)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
6
麦瑞鸭 好呢,快去试了回来结账我好追加我的提问,之前研究某P,现在研究eac,也是头炸
我是刚开始学内核,听说eac特别难的
2022-9-19 07:46
0
雪    币: 206
活跃值: (1991)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
Oxygen1a1 我是刚开始学内核,听说eac特别难的
是呀,感觉要比某P更烧脑
2022-9-19 16:57
0
雪    币: 2141
活跃值: (5173)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
8
麦瑞鸭 是呀,感觉要比某P更烧脑
老哥 不行呀 我改了 还是会闪退
2022-9-21 10:48
0
雪    币: 2141
活跃值: (5173)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
9
麦瑞鸭 是呀,感觉要比某P更烧脑
老哥 你看到消息能回我一下吗 
2022-9-21 13:12
0
雪    币: 206
活跃值: (1991)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
Oxygen1a1 老哥 你看到消息能回我一下吗 [em_5]
最后于 2022-9-24 03:13 被麦瑞鸭编辑 ,原因:
2022-9-23 20:50
0
雪    币: 401
活跃值: (4101)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
额 你可以试试blackbone的方法 创建线程后不立即运行 先暂停后Resume
2022-10-23 04:11
0
雪    币: 3574
活跃值: (4714)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
12
如果没记错 这个小把戏是最少8年前的 伪装下起始地址 在正常模块内就行了



如果记错了 当我没说 
2022-10-23 04:30
1
游客
登录 | 注册 方可回帖
返回
//