[原创]仿照EAC的全局异常Hook-编程技术-看雪安全社区

今年初EAC在部分游戏上部署了假CR3保护，具体痕迹如下
没开游戏时：
 ![](upload/attach/202308/911235_U3DHAXMQUXHU2RW.png)
开游戏后：
 ![](upload/attach/202308/911235_92286Z5D2N2WCU9.png)
原本指向HalpTscQueryCounterOrdered的指针指向了EAC模块内的异常处理函数。
部分系统变量被更改，是为了配合系统顺利调用HalpTscQueryCounterOrdered从而进入异常处理流程。
\
如果发生异常则会走以下流程
int 3异常, 系统1709
```
01 EAC Hook
02 hal!KeStallExecutionProcessor+0xac
03 nt!KeFreezeExecution+0x26a
04 nt!KdEnterDebugger+0x64
05 nt!KdpReport+0x71
06 nt!KdpTrap+0x14d
07 nt!KdTrap+0x2c
08 nt!KiDispatchException+0x15f
09 nt!KiExceptionDispatch+0x11d
0a nt!KiBreakpointTrap+0x318
```
GP异常, 系统21H1
```
00 EAC Hook
01 nt!KeStallExecutionProcessor + 0x120
02 nt!KeFreezeExecution + 0x110
03 nt!KdEnterDebugger + 0x6d
04 nt!KdpReport + 0x74
05 nt!KdpTrap + 0x160
06 nt!KdTrap + 0x2d
07 nt!KiDispatchException + 0x177
08 nt!KxExceptionDispatchOnExceptionStack + 0x12
09 nt!KiExceptionDispatchOnExceptionStackContinue
0a nt!KiExceptionDispatch + 0x125
0b nt!KiGeneralProtectionFault + 0x320
```
\
原理：
EAC将自身进程eprocess.dirbase/cr3 的reserved bit设1，其他进程mov cr3, eac_cr3 就会触发#GP 并进入EAC的异常处理流程，EAC在异常处理流程内栈回溯获取相关信息并恢复CR3，Flag调用进程
\
粗略实现: (仅测试Win10, Win11要修栈)
<mark class="encrypted">490K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1j5I4y4o6l9I4x3e0V1&6x3U0j5J5i4K6u0r3d9r3!0G2K9#2)9J5k6p5E0V1g2s2u0S2M7l9`.`.</mark>
\
话说好久之前就发了啊

登录后可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

最后于 2023-8-19 20:38 被Pipi1337编辑，原因：

#系统内核 #HOOK/注入

最新回复 (20)
Interupt 雪币： 39 活跃值： (1117) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 9 粉丝 18 关注私信	Interupt 2 楼 pipi牛逼 2023-8-19 21:25 0
wuli鸭蛋君雪币： 141 活跃值： (901) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 14 粉丝 1 关注私信	wuli鸭蛋君 3 楼 pipi牛逼 2023-8-19 23:50 0
章鱼C 雪币： 148 活跃值： (2949) 能力值： ( LV3，RANK：30 ) 在线值：发帖 12 回帖 98 粉丝 137 关注私信	章鱼C 4 楼速度真快 2023-8-20 03:21 0
cheating 雪币： 46 活跃值： (1910) 能力值： ( LV2，RANK：10 ) 在线值：发帖 46 回帖 165 粉丝 8 关注私信	cheating 5 楼不出发PG吗？ 2023-8-20 12:45 0
mb_qxylmmzv 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 1 关注私信	mb_qxylmmzv 6 楼 cheating 不出发PG吗？和infinity hook一个位置，估计以后就修了 2023-8-20 18:38 0
sxpp 雪币： 231 活跃值： (2706) 能力值： ( LV5，RANK：60 ) 在线值：发帖 11 回帖 343 粉丝 4 关注私信	sxpp 1 7 楼 Qemu+Windbg怎么设置的 2023-8-20 19:24 0
cheating 雪币： 46 活跃值： (1910) 能力值： ( LV2，RANK：10 ) 在线值：发帖 46 回帖 165 粉丝 8 关注私信	cheating 8 楼 mb_qxylmmzv 和infinity hook一个位置，估计以后就修了那就是低版本能用用 2023-8-20 19:31 0
秋狝雪币： 10156 活跃值： (34226) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 9 楼感谢分享 2023-8-20 23:29 1
万剑归宗雪币： 914 活跃值： (3188) 能力值： ( LV5，RANK：68 ) 在线值：发帖 6 回帖 515 粉丝 37 关注私信	万剑归宗 1 10 楼 new bee 2023-8-21 12:10 0
mb_qxylmmzv 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 1 关注私信	mb_qxylmmzv 11 楼 cheating 那就是低版本能用用从win7到最新版win11都能用，不pg 2023-8-21 15:53 0
hzqst 雪币： 13006 活跃值： (10082) 能力值： ( LV9，RANK：280 ) 在线值：发帖 48 回帖 1818 粉丝 658 关注私信	hzqst 3 12 楼 EAC：已举办 2023-8-22 00:07 0
灵幻空间雪币： 1198 活跃值： (3287) 能力值： ( LV4，RANK：40 ) 在线值：发帖 13 回帖 95 粉丝 47 关注私信	灵幻空间 13 楼感谢分享 2023-8-22 19:07 0
Roger 雪币： 4869 活跃值： (4606) 能力值： ( LV8，RANK：147 ) 在线值：发帖 6 回帖 132 粉丝 138 关注私信	Roger 1 14 楼 mark 2023-8-25 18:50 0
caolinkai 雪币： 3851 活跃值： (4324) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 826 粉丝 1 关注私信	caolinkai 15 楼 6666666666 2023-8-26 20:24 0
baggiowo 雪币： 541 活跃值： (2493) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 50 粉丝 0 关注私信	baggiowo 16 楼大佬,想问问GetExceptionStackOffset这个偏移是怎么得来的 2024-7-7 08:26 0
baggiowo 雪币： 541 活跃值： (2493) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 50 粉丝 0 关注私信	baggiowo 17 楼我知道了,太低的版本没有这个成员,比如我用的1809 2024-7-7 08:34 0
starxnx 雪币： 538 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 24 粉丝 0 关注私信	starxnx 18 楼感谢分享 2024-7-7 10:55 0
龍的总代飞飞雪币： 221 活跃值： (15) 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 37 粉丝 1 关注私信	龍的总代飞飞 19 楼三角洲龍稳定无异味依旧没有拉闸 2026-7-26 23:06 0
龍的总代飞飞雪币： 221 活跃值： (15) 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 37 粉丝 1 关注私信	龍的总代飞飞 20 楼三角洲龍稳定无异味依旧没有拉闸 2026-7-26 23:06 0
龍的总代飞飞雪币： 221 活跃值： (15) 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 37 粉丝 1 关注私信	龍的总代飞飞 21 楼三角洲龍稳定无异味依旧没有拉闸 2026-7-26 23:06 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复