-
-
[原创]仿照EAC的全局异常Hook
-
发表于: 2023-8-19 19:46
-
今年初EAC在部分游戏上部署了假CR3保护，具体痕迹如下
没开游戏时：
开游戏后：
原本指向HalpTscQueryCounterOrdered的指针指向了EAC模块内的异常处理函数。
部分系统变量被更改，是为了配合系统顺利调用HalpTscQueryCounterOrdered从而进入异常处理流程。
如果发生异常则会走以下流程
int 3异常, 系统1709
GP异常, 系统21H1
原理：
EAC将自身进程eprocess.dirbase/cr3 的reserved bit设1，其他进程mov cr3, eac_cr3 就会触发#GP 并进入EAC的异常处理流程，EAC在异常处理流程内栈回溯获取相关信息并恢复CR3，Flag调用进程
粗略实现: (仅测试Win10, Win11要修栈)
8abK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1j5I4y4o6l9I4x3e0V1&6x3U0j5J5i4K6u0r3d9r3!0G2K9#2)9J5k6p5E0V1g2s2u0S2M7l9`.`.
话说好久之前就发了啊
01 EAC Hook02 hal!KeStallExecutionProcessor+0xac03 nt!KeFreezeExecution+0x26a04 nt!KdEnterDebugger+0x6405 nt!KdpReport+0x7106 nt!KdpTrap+0x14d07 nt!KdTrap+0x2c08 nt!KiDispatchException+0x15f09 nt!KiExceptionDispatch+0x11d0a nt!KiBreakpointTrap+0x31801 EAC Hook02 hal!KeStallExecutionProcessor+0xac03 nt!KeFreezeExecution+0x26a04 nt!KdEnterDebugger+0x6405 nt!KdpReport+0x7106 nt!KdpTrap+0x14d07 nt!KdTrap+0x2c08 nt!KiDispatchException+0x15f09 nt!KiExceptionDispatch+0x11d0a nt!KiBreakpointTrap+0x31800 EAC Hook01 nt!KeStallExecutionProcessor + 0x12002 nt!KeFreezeExecution + 0x11003 nt!KdEnterDebugger + 0x6d04 nt!KdpReport + 0x7405 nt!KdpTrap + 0x16006 nt!KdTrap + 0x2d07 nt!KiDispatchException + 0x17708 nt!KxExceptionDispatchOnExceptionStack + 0x1209 nt!KiExceptionDispatchOnExceptionStackContinue0a nt!KiExceptionDispatch + 0x1250b nt!KiGeneralProtectionFault + 0x320冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。
最后于 2023-8-19 20:38
被Pipi1337编辑
，原因：
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
和infinity hook一个位置，估计以后就修了 |
|
|
Qemu+Windbg怎么设置的
|
|
|
那就是低版本能用用 |
|
|
|
|
|
|
|
|
从win7到最新版win11都能用，不pg |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
