逆向某一款上市读写驱动,什么居然不加壳?-逆向工程-看雪安全社区

逆向某一款上市读写驱动,什么居然不加壳?

发表于: 2024-1-14 07:26 16896

逆向某一款上市读写驱动,什么居然不加壳?

Mashiro~

2024-1-14 07:26

16896

听说群里的兄弟租了个云端驱动，我来看看肿么肥事(帮群友鉴毒，作为群主义不容辞，绝不是因为听说该驱动吴迪稳定)
 ![1](upload/attach/202401/775996_KSF76RVQPDRTCA7.webp)
看样子很专业，打开例子康康
 ![2](upload/attach/202401/775996_Q39THSQ9RYWEXG7.webp)
WTF？？？你不是AnyEveryDrv吗？怎么代码里面还有GSDrv，看样子是没删完 ![3](upload/attach/202401/775996_R52955Q9RWRMA6K.webp)，直接掏出神器IDA超度它(AnyEvery_x64.dll)
 ![4](upload/attach/202401/775996_VS27UPV2HW3Y7AY.webp)
DllMain函数里面拿了很多函数地址，继续往下看
 ![4](upload/attach/202401/775996_CTSST2JWSTETG8D.webp)
函数最后创建了一个线程，看看里面是个啥
 ![4](upload/attach/202401/775996_DV2DEWN7DCT55GM.webp)
呦西，这就是传说中的云端驱动，下载这个文件看看是个什么玩意
 ![4](upload/attach/202401/775996_SNRV9GUX64ZRWR2.webp)
有签名，还是过期的证书，看样子是驱动文件了，102KB？看样子还是没壳，祭出IDA，先看驱动入口函数
 ![4](upload/attach/202401/775996_H4QVS3UHFMNGRA2.webp)
填充了个结构(PoolWithTag),看看sub_1400021C0函数是什么
 ![4](upload/attach/202401/775996_547KS8FP9EU3DPC.webp)
看样子是根据系统版本号拿一些系统结构偏移，盲猜是进程保护什么用的，继续看驱动入口函数，看看这个sub_140001C80函数
 ![4](upload/attach/202401/775996_TWE5FVFYC562R3V.webp)
 ![4](upload/attach/202401/775996_PXMRMHYPUQKKGU6.webp)
可以看到拿了两个ssdt函数的地址(NtCreateThreadEx、NtProtectVirtualMemory)
继续看驱动入口函数
 ![4](upload/attach/202401/775996_B33NZHUKZVS69UM.webp)
这段代码大伙应该都知道是啥吧，从win10某个版本开始(哪个版本我也忘了)，系统启动后ptebase不再固定而是一个随机值，继续往下看
 ![4](upload/attach/202401/775996_BR5RJVKR9SA3266.webp)
什么，还有高手，进sub_140001920看看
 ![4](upload/attach/202401/775996_NYJNRDRW2QZ39K3.webp)
豁然开朗，这个驱动其实就是一个映射器，unk_140004010才是真正的功能驱动文件

```
*(_QWORD *)(qword_140017950 + 48) = ExAllocatePoolWithTag(NonPagedPool, *(unsigned int *)(v3 + 80), 0x5347u);
  v5 = *(_QWORD *)(qword_140017950 + 48);
  if ( !v5 )
    return -1073741823;
  v6 = *(unsigned int *)(v4 + 80);
  if ( *(_DWORD *)(v4 + 80) )
    sub_140002C00(v5, 0i64, v6);
  v7 = *(unsigned int *)(v4 + 84);
  v8 = *(_BYTE **)(qword_140017950 + 48);
  if ( *(_DWORD *)(v4 + 84) )
  {
    v6 = &unk_140004010 - (_UNKNOWN *)v8;
    do
    {
      *v8 = v8[v6];
      ++v8;
      --v7;
    }
    while ( v7 );
  }
  v9 = (char *)&unk_140004010 + dword_14000404C;
  for ( i = 0i64; (unsigned int)i < *(unsigned __int16 *)(v4 + 6); i = (unsigned int)(i + 1) )
  {
    v7 = *(unsigned int *)&v9[40 * (unsigned int)i + 280];
    v6 = (signed __int64)&unk_140004010 + *(unsigned int *)&v9[40 * (unsigned int)i + 284];
    v11 = *(_QWORD *)(qword_140017950 + 48) + *(unsigned int *)&v9[40 * (unsigned int)i + 276];
    if ( *(_DWORD *)&v9[40 * (unsigned int)i + 280] )
    {
      v6 -= v11;
      do
      {
        *(_BYTE *)v11 = *(_BYTE *)(v6 + v11);
        ++v11;
        --v7;
      }
      while ( v7 );
    }
  }
  if ( (int)sub_140001300(*(_QWORD *)(qword_140017950 + 48), v7, v6, i) < 0
    || (int)sub_1400015A0(*(_QWORD *)(qword_140017950 + 48)) < 0 )
  {
    return -1073741823;
  }
  FileHandle = 0i64;
  RtlInitUnicodeString(&v16, L"\\SystemRoot\\System32\\AnyEvery.bin");
  ObjectAttributes.Length = 48;
  ObjectAttributes.RootDirectory = 0i64;
  ObjectAttributes.Attributes = 576;
  ObjectAttributes.ObjectName = &v16;
  *(_OWORD *)&ObjectAttributes.SecurityDescriptor = 0i64;
  v12 = ZwCreateFile(&FileHandle, 0x10000000u, &ObjectAttributes, &IoStatusBlock, 0i64, 0x80u, 3u, 3u, 0x20u, 0i64, 0);
  if ( v12 >= 0 )
  {
    ByteOffset.QuadPart = 0i64;
    v12 = ZwWriteFile(FileHandle, 0i64, 0i64, 0i64, &IoStatusBlock, &qword_140017950, 8u, &ByteOffset, 0i64);
    ZwClose(FileHandle);
  }
  if ( v12 < 0 )
    return v12;
  v13 = *(unsigned int *)(v4 + 40);
  ByteOffset.QuadPart = 0i64;
  result = PsCreateSystemThread(
             (PHANDLE)&ByteOffset,
             0x1FFFFFu,
             0i64,
             (HANDLE)0xFFFFFFFFFFFFFFFFi64,
             0i64,
             (PKSTART_ROUTINE)(*(_QWORD *)(qword_140017950 + 48) + v13),
             0i64);
```
这段代码就是根据PE头写入每个节然后修复IAT表，映射功能驱动，把之前根据系统版本拿到的一系列偏移还有ssdt函数地址什么的写到一个文件里面(AnyEvery.bin),然后启动一条线程执行驱动入口(为什么不直接call呢？？？还有把这些数据写到本地也是神操作~)。拷贝unk_140004010把这个功能驱动文件写出来，拖到IDA一探究竟，这个驱动肯定就没壳了，因为能映射带壳驱动的映射器基本上没有吧。
 ![4](upload/attach/202401/775996_PBZHTCWJ4EWU76E.webp)
功能驱动入口函数很简洁，作者怎么还限制驱动使用时间呢？往下看可以直接看到创建了一个注册表回调用来通讯，进sub_14000BC40函数看一下
 ![4](upload/attach/202401/775996_AV7SH8WGEG2S92C.webp)
可以看到读取了之前写的AnyEvery.bin文件，拿到了它的数据，然后删除文件，我愿称之为好家伙。
伪代码可以看到回调函数入口是v4，v4是sub_140002900函数返回的，跟进去看看
 ![4](upload/attach/202401/775996_3C8PAEAE5GMS6PW.webp)
一开始我也没看懂这是干嘛的，看了好久直到我看到了这句代码

```
if ( *(v10 - 3) == 2019914798 && *((_BYTE *)v10 - 8) == 116 )
```
经常写shellcode和pe有关代码的朋友应该可以看出来2019914798和116其实是字符串".text"在内存中的字节数组，大概就是这样

```
unsigned char str[] = { 0x2E, 0x74, 0x65, 0x78, 0x74, 0x00 };
```
前4个字节是".tex"，第5个字节是"t"，这样子的话就可以猜测这个函数是查找代码段的某一个地址，第一个参数*(_QWORD *)(qword_1400116A0 + 40)应该是起始地址(我猜的),验证一下猜想，看看这个qword_1400116A0 + 40里面到底是什么，还记得qword_1400116A0是保存文件AnyEvery.bin内容的指针吗，回到上个驱动文件，找到往这个文件+0x40偏移写入的是什么数据
 ![4](upload/attach/202401/775996_5NSJGWEBYAQS4TG.webp)
调用两次ZwQuerySystemInformation并且调用11号功能，大伙应该都知道这个是干嘛的了吧，获取系统模块的起始地址，看看是获取什么模块的

```
if ( (unsigned __int64)SystemRoutineAddress >= v16 && (unsigned __int64)SystemRoutineAddress < v16 + v12[v15 + 8] )
      {
        v17 = (_QWORD *)*a1;
        if ( (_QWORD *)*a1 != a1 )
        {
          while ( 1 )
          {
            v18 = v17[6];
            if ( v16 == v18 )
            {
              v19 = v17[1];
              if ( v19 >= v18 && v19 < v18 + *((unsigned int *)v17 + 16) )
                break;
            }
            v17 = (_QWORD *)*v17;
            if ( v17 == a1 )
              goto LABEL_24;
          }
          *(_QWORD *)(qword_140017950 + 40) = v16;
          *(_QWORD *)(qword_140017950 + 56) = v17[1];
        }
      }
```
可以看到SystemRoutineAddress所在的模块就是qword_140017950 + 0x40的值了，由于代码没截全直接放代码

```
RtlInitUnicodeString(&DestinationString, L"NtOpenFile");
  SystemRoutineAddress = MmGetSystemRoutineAddress(&DestinationString);
  if ( !SystemRoutineAddress )
    return 3221225473i64;
```
NtOpenFile函数是在ntoskrnl.exe里面的至此为止我们终于知道了模块是什么了。再回到第二个驱动中，qword_1400116A0 + 40存的是ntoskrnl.exe在内存中 的起始地址，函数sub_140002900是想在ntoskrnl.exe的代码段找什么，看第二个参数，是个函数指针(sub_14000D810)，跟过去

```
__int64 __fastcall sub_14000D810(__int64 (*a1)(void))
{
  return a1();
}
```
函数汇编：
```
.text:000000014000D810     sub_14000D810 proc near                 
.text:000000014000D810     FF E1    jmp     rcx
```
到这里是不是已经明白了大概，函数sub_140002900其实是一个内存搜索函数，第一个参数是起始地址，第二个参数是特征码(0xFF,0xE1)，第三个参数是掩码，第四个参数是函数的大小，正好对应上传入的参数，函数sub_14000D810其实是个跳板，如果把这个跳板当回调函数注册的话，函数内会跳转到函数的第一个参数，也就是rcx(学到老活到老)，看回调函数原型：
```
NTSTATUS
EX_CALLBACK_FUNCTION (
    _In_ PVOID CallbackContext,
    _In_opt_ PVOID Argument1,
    _In_opt_ PVOID Argument2
    );
```
第一个参数又是Context，注册回调函数又把sub_140009220作为Context传入，也就是函数sub_140009220才是真正的回调函数
```
CmRegisterCallback(v4, sub_140009220, v3 + 7)
```
正片来了，直接看回调函数
 ![4](upload/attach/202401/775996_JPXTAXRV676N7CE.webp)
开幕雷击，GET请求协议和ip已经出来了

```
if ( (int)sub_140001040(v14, v13, v15, v16, ObjectType, v11, v17) >= 0 )
          {
            v18 = 0;
            v19 = -v12;
            while ( 2 )
            {
              v20 = v12;
              while ( aXxxxxxx[v19 + v20] != 120 || *(_BYTE *)v20 == aSuccess[v19 + v20] )
              {
                if ( (unsigned __int64)(++v20 - v12) >= 7 )
                {
                  if ( v12 )
                  {
                    VirtualMemory = 0;
                    *(_DWORD *)qword_1400116A0 = 1;
                  }
                  goto LABEL_25;
                }
              }
              ++v18;
              ++v12;
              --v19;
              if ( v18 < 0xFF9 )
                continue;
              break;
            }
          }
```
这验证也太草率了,qword_1400116A0指针前4个字节看样子就是验证的开关了

```
if ( *(_DWORD *)qword_1400116A0 != 1 )
  {
    if ( v21 > 0x30303031 )
      return (unsigned int)-1073741823;
    return (unsigned int)VirtualMemory;
  }
```
最简单的破解方式就是找到qword_1400116A0，然后*(int*)qword_1400116A0 = 1
或者把这句代码改成
```
if ( *(_DWORD *)qword_1400116A0 != 0 )
```
怎么找qword_1400116A0？直接上inlinehook呗(拿到qword_1400116A0记得恢复钩子，趁PG没反应过来)，hook ZwReadFile然后根据文件句柄来判断是不是AnyEvery.bin文件，是的话参数Buffer就是就qword_1400116A0指针了，你也可以选择hook CmRegisterCallback直接拿到Context,或许你还有不用hook的方法呢？
好了，看看它的驱动回调有什么功能
 ![4](upload/attach/202401/775996_UC4DCA2Z4BCW422.webp)
查询内存的属性
 ![4](upload/attach/202401/775996_JNESYP8XCTYXQGZ.webp)
传说中的读写内存，这真的能吴迪稳定吗？？？
 ![4](upload/attach/202401/775996_SD8A9T94TZ4R8B3.webp)
传说中的强写内存，附加到进程然后映射MDL，好家伙
 ![4](upload/attach/202401/775996_G37SKTWKTYK4XFS.webp)
传说中的强删文件
......
还有很多就不截图了。
驱动代码很简单，吴不吴迪稳不稳定不知道，不加壳就上市这操作实属逆天，驱动文件我就不上传了，也不是啥好东西，上面有链接自己下载，据说就是GS驱动加了个验证就上市了，话说作者不会起诉我吧qaq
觉得还可以麻烦给兄弟点个赞，写这么多文字截这么多图真的很累~~~

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

#调试逆向 #系统底层 #软件保护 #其他内容

收藏・23

点赞・17

打赏

最新回复 (21)
逆向爱好者雪币： 3536 活跃值： (7794) 能力值： ( LV3，RANK：20 ) 在线值：发帖 37 回帖 280 粉丝 24 关注私信	逆向爱好者 2 楼文件发发？ 2024-1-14 17:29 0
Mashiro~ 雪币： 508 活跃值： (771) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 15 粉丝 31 关注私信	Mashiro~ 3 楼逆向爱好者文件发发？ 3faK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6S2L8Y4W2W2N6X3g2J5P5h3c8J5N6W2)9J5k6h3!0K6M7#2)9J5k6r3y4F1i4K6u0V1j5X3g2A6K9X3W2F1k6#2)9J5k6h3q4D9K9i4W2#2L8X3y4K6i4K6u0W2j5$3!0E0i4K6u0r3x3W2)9#2k6U0q4Q4x3X3g2T1K9h3&6Q4c8e0S2Q4b7V1k6Q4z5e0W2Q4c8e0k6Q4z5e0S2Q4b7f1k6Q4c8e0c8Q4b7V1u0Q4z5e0k6G2M7%4y4Q4c8e0N6Q4z5f1q4Q4z5o6c8Q4c8e0k6Q4z5e0k6Q4z5o6N6Q4c8e0c8Q4b7V1u0Q4b7U0j5`. 2024-1-14 20:50 0
秋狝雪币： 10072 活跃值： (34131) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 4 楼感谢分享 2024-1-14 23:09 1
逆向爱好者雪币： 3536 活跃值： (7794) 能力值： ( LV3，RANK：20 ) 在线值：发帖 37 回帖 280 粉丝 24 关注私信	逆向爱好者 5 楼秋狝感谢分享两个驱动文件你还有么 2024-1-14 23:14 0
Oxygen1a1 雪币： 2867 活跃值： (6552) 能力值： ( LV3，RANK：30 ) 在线值：发帖 17 回帖 96 粉丝 90 关注私信	Oxygen1a1 6 楼乐经典MDL,自删除,大手子们共享一套底层代码是吧 2024-1-15 09:17 1
苏苏苏苏苏苏雪币： 565 活跃值： (632) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 11 粉丝 51 关注私信	苏苏苏苏苏苏 7 楼这是20年底开源的驱动源码，分析浪费时间，需要我给你源代码 2024-1-21 04:32 1
三千三百年雪币： 320 活跃值： (40) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 1 关注私信	三千三百年 8 楼苏苏苏苏苏苏这是20年底开源的驱动源码，分析浪费时间，需要我给你源代码大哥发一下源代码 2024-1-30 09:46 0
Mashiro~ 雪币： 508 活跃值： (771) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 15 粉丝 31 关注私信	Mashiro~ 9 楼苏苏苏苏苏苏这是20年底开源的驱动源码，分析浪费时间，需要我给你源代码你是GS驱动作者吗大佬 2024-1-30 15:28 0
冰布酱雪币： 82 活跃值： (634) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	冰布酱 10 楼苏苏苏苏苏苏这是20年底开源的驱动源码，分析浪费时间，需要我给你源代码大哥发一份学习一下 2024-2-29 10:30 0
tank小王子雪币： 19742 活跃值： (13074) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 161 粉丝 1 关注私信	tank小王子 11 楼逆向爱好者两个驱动文件你还有么当个雷锋。这个文件 1f7K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6S2L8Y4W2W2N6X3g2J5P5h3c8J5N6W2)9J5k6h3!0K6M7#2)9J5k6r3y4F1i4K6u0V1j5X3g2A6K9X3W2F1k6#2)9J5k6h3q4D9K9i4W2#2L8X3y4K6i4K6u0W2j5$3!0E0i4K6u0r3x3W2)9#2k6U0c8Q4x3X3g2T1K9h3^5`. 不过不能下载了，后面得需要key。上传的附件： fbcb21b9d6295b9efecd2f4a165bfd5917129fa458347599d33280f29f31f65a （97.75kb，92次下载） 2024-2-29 13:02 0
zylrocket 雪币： 4720 活跃值： (7644) 能力值： ( LV2，RANK：10 ) 在线值：发帖 27 回帖 308 粉丝 21 关注私信	zylrocket 12 楼加了壳子的驱动，你能搞吗？ 2024-2-29 13:58 0
hzqst 雪币： 13006 活跃值： (10062) 能力值： ( LV9，RANK：280 ) 在线值：发帖 48 回帖 1817 粉丝 657 关注私信	hzqst 3 13 楼 woc，是马↓西↑若↑↓！ 2024-2-29 14:29 0
chengqiyan 雪币： 261 活跃值： (547) 能力值： ( LV4，RANK：50 ) 在线值：发帖 21 回帖 163 粉丝 18 关注私信	chengqiyan 14 楼验证用的代码比内存读写还多 2024-3-8 13:08 1
摆事可乐雪币： 2 活跃值： (616) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	摆事可乐 15 楼 chengqiyan 验证用的代码比内存读写还多 [em_14] 毕竟验证才是赚米的关键 2024-3-25 16:39 0
By永恒。雪币： 993 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	By永恒。 16 楼还不错看着 2024-4-4 15:26 0
moo1 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	moo1 17 楼苏苏苏苏苏苏这是20年底开源的驱动源码，分析浪费时间，需要我给你源代码大哥发一份学习一下 2024-4-11 14:18 0
mb_etjoukjz 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	mb_etjoukjz 18 楼好家伙..直接抄袭GS+明文验证,易语言的都这个德行 2024-4-15 17:47 0
mb_hmukhnsz 雪币： 33 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	mb_hmukhnsz 19 楼教练，我要进群 2025-7-28 22:14 0
失踪的人雪币： 20 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	失踪的人 20 楼大佬我想要进群 2025-12-24 01:20 0
csysfiles 雪币： 8 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 10 粉丝 0 关注私信	csysfiles 21 楼本来就是个toy driver，加不加壳谁在意呢 2025-12-30 15:32 1
csysfiles 雪币： 8 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 10 粉丝 0 关注私信	csysfiles 22 楼稳定一天就算稳定，毕竟要上市的不是 2025-12-30 15:32 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

Mashiro~

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (21)
逆向爱好者雪币： 3536 活跃值： (7794) 能力值： ( LV3，RANK：20 ) 在线值：发帖 37 回帖 280 粉丝 24 关注私信	逆向爱好者 2 楼文件发发？ 2024-1-14 17:29 0
Mashiro~ 雪币： 508 活跃值： (771) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 15 粉丝 31 关注私信	Mashiro~ 3 楼逆向爱好者文件发发？ 3faK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6S2L8Y4W2W2N6X3g2J5P5h3c8J5N6W2)9J5k6h3!0K6M7#2)9J5k6r3y4F1i4K6u0V1j5X3g2A6K9X3W2F1k6#2)9J5k6h3q4D9K9i4W2#2L8X3y4K6i4K6u0W2j5$3!0E0i4K6u0r3x3W2)9#2k6U0q4Q4x3X3g2T1K9h3&6Q4c8e0S2Q4b7V1k6Q4z5e0W2Q4c8e0k6Q4z5e0S2Q4b7f1k6Q4c8e0c8Q4b7V1u0Q4z5e0k6G2M7%4y4Q4c8e0N6Q4z5f1q4Q4z5o6c8Q4c8e0k6Q4z5e0k6Q4z5o6N6Q4c8e0c8Q4b7V1u0Q4b7U0j5`. 2024-1-14 20:50 0
秋狝雪币： 10072 活跃值： (34131) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 4 楼感谢分享 2024-1-14 23:09 1
逆向爱好者雪币： 3536 活跃值： (7794) 能力值： ( LV3，RANK：20 ) 在线值：发帖 37 回帖 280 粉丝 24 关注私信	逆向爱好者 5 楼秋狝感谢分享两个驱动文件你还有么 2024-1-14 23:14 0
Oxygen1a1 雪币： 2867 活跃值： (6552) 能力值： ( LV3，RANK：30 ) 在线值：发帖 17 回帖 96 粉丝 90 关注私信	Oxygen1a1 6 楼乐经典MDL,自删除,大手子们共享一套底层代码是吧 2024-1-15 09:17 1
苏苏苏苏苏苏雪币： 565 活跃值： (632) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 11 粉丝 51 关注私信	苏苏苏苏苏苏 7 楼这是20年底开源的驱动源码，分析浪费时间，需要我给你源代码 2024-1-21 04:32 1
三千三百年雪币： 320 活跃值： (40) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 1 关注私信	三千三百年 8 楼苏苏苏苏苏苏这是20年底开源的驱动源码，分析浪费时间，需要我给你源代码大哥发一下源代码 2024-1-30 09:46 0
Mashiro~ 雪币： 508 活跃值： (771) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 15 粉丝 31 关注私信	Mashiro~ 9 楼苏苏苏苏苏苏这是20年底开源的驱动源码，分析浪费时间，需要我给你源代码你是GS驱动作者吗大佬 2024-1-30 15:28 0
冰布酱雪币： 82 活跃值： (634) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	冰布酱 10 楼苏苏苏苏苏苏这是20年底开源的驱动源码，分析浪费时间，需要我给你源代码大哥发一份学习一下 2024-2-29 10:30 0
tank小王子雪币： 19742 活跃值： (13074) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 161 粉丝 1 关注私信	tank小王子 11 楼逆向爱好者两个驱动文件你还有么当个雷锋。这个文件 1f7K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6S2L8Y4W2W2N6X3g2J5P5h3c8J5N6W2)9J5k6h3!0K6M7#2)9J5k6r3y4F1i4K6u0V1j5X3g2A6K9X3W2F1k6#2)9J5k6h3q4D9K9i4W2#2L8X3y4K6i4K6u0W2j5$3!0E0i4K6u0r3x3W2)9#2k6U0c8Q4x3X3g2T1K9h3^5`. 不过不能下载了，后面得需要key。上传的附件： fbcb21b9d6295b9efecd2f4a165bfd5917129fa458347599d33280f29f31f65a （97.75kb，92次下载） 2024-2-29 13:02 0
zylrocket 雪币： 4720 活跃值： (7644) 能力值： ( LV2，RANK：10 ) 在线值：发帖 27 回帖 308 粉丝 21 关注私信	zylrocket 12 楼加了壳子的驱动，你能搞吗？ 2024-2-29 13:58 0
hzqst 雪币： 13006 活跃值： (10062) 能力值： ( LV9，RANK：280 ) 在线值：发帖 48 回帖 1817 粉丝 657 关注私信	hzqst 3 13 楼 woc，是马↓西↑若↑↓！ 2024-2-29 14:29 0
chengqiyan 雪币： 261 活跃值： (547) 能力值： ( LV4，RANK：50 ) 在线值：发帖 21 回帖 163 粉丝 18 关注私信	chengqiyan 14 楼验证用的代码比内存读写还多 2024-3-8 13:08 1
摆事可乐雪币： 2 活跃值： (616) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	摆事可乐 15 楼 chengqiyan 验证用的代码比内存读写还多 [em_14] 毕竟验证才是赚米的关键 2024-3-25 16:39 0
By永恒。雪币： 993 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	By永恒。 16 楼还不错看着 2024-4-4 15:26 0
moo1 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	moo1 17 楼苏苏苏苏苏苏这是20年底开源的驱动源码，分析浪费时间，需要我给你源代码大哥发一份学习一下 2024-4-11 14:18 0
mb_etjoukjz 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	mb_etjoukjz 18 楼好家伙..直接抄袭GS+明文验证,易语言的都这个德行 2024-4-15 17:47 0
mb_hmukhnsz 雪币： 33 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	mb_hmukhnsz 19 楼教练，我要进群 2025-7-28 22:14 0
失踪的人雪币： 20 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	失踪的人 20 楼大佬我想要进群 2025-12-24 01:20 0
csysfiles 雪币： 8 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 10 粉丝 0 关注私信	csysfiles 21 楼本来就是个toy driver，加不加壳谁在意呢 2025-12-30 15:32 1
csysfiles 雪币： 8 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 10 粉丝 0 关注私信	csysfiles 22 楼稳定一天就算稳定，毕竟要上市的不是 2025-12-30 15:32 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复