-
-
[原创]【抛砖引玉，但是我是玉】一个可以通杀EAC-CR3保护的猜想
-
2023-8-16 17:03
-
众所周知宇宙第一AntiCheat——EasyAntiCheat前段时间在RustClient.exe上部署了假cr3
消息来源：UC新闻网
[News] Easy Anti-Cheat CR3 Trashing (unknowncheats.me)
不知道具体原理的这里给大伙儿省个流：
1、偷指针，接管整个系统的异常处理
InternalData = HalpTimerGetInternalData( Timer ); Rax = ( *( __int64 ( __fastcall ** )( __int64 ) )( Timer + 0x70 ) )( InternalData );
2、给EPROCESS.DirectoryTableBase写非法数值，让这个值在SwapContext写入cr3时发生#GP异常
3、接管#GP异常，恢复真实cr3，从异常中恢复
大手子们针对EAC也是八仙过海各显神通
有尝试暴力还原代码手动解密数据的：
[Coding] eac new cr3 decryption routine (unknowncheats.me)
有插NMI的：
[Coding] EAC Decrypted CR3 Method using NMIs & KPRCBs (unknowncheats.me)
那么有没有更简单的无需更新的通杀方法呢？
拜读前辈的文章后我们得知，cr3对应的物理地址在MmPfnDatabase中的表项MMPFN.ListEntry，其实就是加密后的EPROCESS：
win10 1909逆向（通过任意物理帧判断是否是CR3和解密得到所属EPROCESS）-软件逆向-看雪-安全社区|安全招聘|kanxue.com
那么我们是不是可以遍历整个MmPfnDatabase，判断其中的MMPFN.ListEntry是否是游戏的EPROCESS，如果是，岂不是就可以从MMPFN反推出CR3对应的物理地址了？
半分钟随便乱写的伪代码（不保真）：
ULONG_PTR ULONG_PTR = 0;
for(auto i = 0; i < MmPfnDatabaseSize; ++i)
{
if( DecryptEProcess(MmPfnDatabase[i]) == TargetGameEProcess)
{
RealDirectoryTableBase = (ULONG_PTR)i << 12ull;
}
}[培训]二进制漏洞攻防（第3期）；满10人开班；模糊测试与工具使用二次开发；网络协议漏洞挖掘；Linux内核漏洞挖掘与利用；AOSP漏洞挖掘与利用；代码审计。
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
mark |
|
|
|
|
|
|
|
|
1、attach的writecr3会被异常处理捕获，想死号就尽管attach 2、人家是DMA |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
