首页
社区
课程
招聘
[原创]【抛砖引玉,但是我是玉】一个可以通杀EAC-CR3保护的猜想
发表于: 2023-8-16 17:03 24590

[原创]【抛砖引玉,但是我是玉】一个可以通杀EAC-CR3保护的猜想

2023-8-16 17:03
24590

众所周知宇宙第一AntiCheat——EasyAntiCheat前段时间在RustClient.exe上部署了假cr3


消息来源:UC新闻网


unknowncheats.me/forum/anti-cheat-bypass/580783-article-unleashing-secrets-easyanticheat-cr3-protection.html


[News] Easy Anti-Cheat CR3 Trashing (unknowncheats.me)


Unleashing the Secrets: EasyAntiCheat’s CR3 Protection :: AVX's Blog (advancedvectorextensions.github.io)


不知道具体原理的这里给大伙儿省个流:


1、偷指针,接管整个系统的异常处理


2、给EPROCESS.DirectoryTableBase写非法数值,让这个值在SwapContext写入cr3时发生#GP异常


3、接管#GP异常,恢复真实cr3,从异常中恢复



大手子们针对EAC也是八仙过海各显神通





[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!

最后于 2023-8-16 17:04 被hzqst编辑 ,原因:
收藏
免费 13
支持
分享
打赏 + 280.00雪花
打赏次数 2 雪花 + 280.00
 
赞赏  铭濠笙科技   +80.00 2023/09/17
赞赏  铭濠笙科技   +200.00 2023/09/17
最新回复 (24)
雪    币: 2062
活跃值: (3867)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
大手子,你好
2023-8-16 17:10
1
雪    币: 6166
活跃值: (4937)
能力值: ( LV10,RANK:160 )
在线值:
发帖
回帖
粉丝
3
等会5e的就来给你点赞了。
2023-8-16 17:12
4
雪    币: 6124
活跃值: (4656)
能力值: ( LV6,RANK:80 )
在线值:
发帖
回帖
粉丝
4
鉴定为真
2023-8-16 17:13
0
雪    币: 3129
活跃值: (3668)
能力值: ( LV8,RANK:158 )
在线值:
发帖
回帖
粉丝
5

我之前有过一个在内存取证的情境下的思路大致是这样


dtb所在的pfndata的pteaddr是可以被计算出来的

先根据dtb_pteaddr,KUSER_SHARED_DATA,PTE_BASE,MmPfnDataBase的地址作为特征暴力遍历所有可能的dtb,判断dtb内存映射里有没有出现GameProcess.SectionBase,判断内存中的pe头特征是否和磁盘中的pe头特征相同,或者也可以搜索游戏exe里的一个固定的特征码


pte_base_pml4_index=va(pte_base).pml4e_index
dtb_pteaddr=pxe_base+pte_base_pml4_index*8

for pfndata in MmPfnDataBase:
	if pfndata.pteaddr == dtb_pteaddr
		dtb_vma=vma(pfnaddr.physaddr)
		if dtb_vma.checkva(MmPfnDataBase) and readphys_int64array(pfndata.physaddr)[pte_base_pml4_index].valid() and dtb_vma.checkusershareddata()
			if dtb_vma.checkva(gameproc.sectionbase):
				pe = parsepe(dtb_vma,gameproc.sectionbase)
				if pe.checksum == gamefile.checksum:
					print("dtb = {}".format(pfndata.physaddr));
					exit()					
					


最后于 2023-8-16 21:38 被cslime编辑 ,原因: 优化描述
2023-8-16 19:08
0
雪    币: 914
活跃值: (2458)
能力值: ( LV5,RANK:68 )
在线值:
发帖
回帖
粉丝
6
你这代码保熟不?
2023-8-17 11:54
0
雪    币: 1114
活跃值: (2094)
能力值: ( LV4,RANK:40 )
在线值:
发帖
回帖
粉丝
7
niubi
2023-8-17 14:28
0
雪    币: 185
活跃值: (2397)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
2023-8-17 18:07
0
雪    币: 3059
活跃值: (30876)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
感谢分享
2023-8-18 09:24
1
雪    币: 660
活跃值: (1465)
能力值: ( LV4,RANK:40 )
在线值:
发帖
回帖
粉丝
lwl
10
其实系统有默认的回调会记录APP启动的信息,直接取就行了。
2023-8-18 09:38
0
雪    币: 412
活跃值: (2176)
能力值: ( LV3,RANK:25 )
在线值:
发帖
回帖
粉丝
11
有内鬼,终止交易
2023-8-18 10:15
0
雪    币: 1015
活跃值: (5242)
能力值: ( LV12,RANK:312 )
在线值:
发帖
回帖
粉丝
12
有内鬼,终止交易
2023-8-18 10:23
0
雪    币: 3677
活跃值: (3081)
能力值: ( LV8,RANK:147 )
在线值:
发帖
回帖
粉丝
13
淡然他徒弟 等会5e的就来给你点赞了。
mark
2023-8-18 17:58
1
雪    币: 1825
活跃值: (5354)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
14

毛茸茸又软和的大黄也有谦虚地喊“前辈”的时候啊, 哈哈

2023-8-19 06:30
1
雪    币: 2141
活跃值: (5173)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
15
大表哥牛逼,顺便问下如果直接附加,此时__readcr3不是也能取出正确的cr3吗?附加一次总不会被橄榄吧
2023-8-19 08:44
0
雪    币: 12848
活跃值: (9147)
能力值: ( LV9,RANK:280 )
在线值:
发帖
回帖
粉丝
16
Oxygen1a1 大表哥牛逼,顺便问下如果直接附加,此时__readcr3不是也能取出正确的cr3吗?附加一次总不会被橄榄吧
1、attach的writecr3会被异常处理捕获,想死号就尽管attach
2、人家是DMA
2023-8-19 11:40
1
雪    币: 46
活跃值: (1740)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
17
我想知道人家是什么时刻把cr3改成非法的,在进程回调那里就改了?,大表哥能说一下不,哈哈。
2023-8-19 14:07
0
雪    币: 12
活跃值: (399)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
18
InfinityHook:这个我熟
2023-8-19 18:01
0
雪    币: 1825
活跃值: (5354)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
19
clestor InfinityHook:这个我熟

胆敢窃取楼主本尊照片, 当头像!

最后于 2023-8-20 23:18 被PEDIY编辑 ,原因:
2023-8-20 18:05
1
雪    币: 206
活跃值: (1991)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
20
如果应用层拿到读写权限,调用应用层函数读写应该就能绕过,这种保护似乎只能靠判断rip来过滤
2023-9-12 01:00
0
雪    币: 2421
活跃值: (2301)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
21
真牛逼,大佬开班吧
2024-2-7 08:58
0
雪    币: 140
活跃值: (451)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
22
我真的在学
2024-3-17 19:59
0
雪    币: 1862
活跃值: (4146)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
23
怪不得最近挂哥变多了
2024-3-17 21:26
0
雪    币: 0
活跃值: (245)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
24
给游戏线程插内核apc 在apc里__readcr3() 也能取到正确的吧
2024-11-3 22:19
0
雪    币: 633
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
25

emmm,回复好像有bug;   楼上的你咋不附加上去呢?

最后于 2024-11-6 02:08 被龟仙人编辑 ,原因:
2024-11-6 02:05
0
游客
登录 | 注册 方可回帖
返回
//