-
-
[讨论]分析某个外g源码2
-
2023-12-13 23:20 2747
-
这个外g留下的特征是什么呢,从内存角度来说他是修改了续表函数,而保存虚表函数的地址在dxgi.dll模块里,反作弊可以扫描这个地址有没有被非法修改
或者说判断0x40偏移这个函数的汇编代码是否与原来dxgi的汇编代码是否大致相同,如果相差很大,即可判非法
而我们攻击方则要么干检测,要么HOOK别的地方,
这个HOOKresizeBuffer经测试是无用的
我们来找这个Present还有没有别的HOOK的地方,这个函数之所以能被HOOk绘制方框
是因为有这个IDXGISwapChain* SwapChain参数,然后调用某些与之相关联的东西,如果我们换成别的函数hook,就必须找到rcx是一个IDXGISwapChain* 的参数的函数,这个我也没找到,
看得出只调用一次,那我干脆手动调用一次,
这四个可以当做hook函数的内容,然后我们去找别的iat进行HOOK
这样完美解决内存校验
[培训]《安卓高级研修班(网课)》月薪三万计划,掌握调试、分析还原ollvm、vmp的方法,定制art虚拟机自动化脱壳的方法
赞赏
他的文章
看原图