[原创]函数简单逆向并录制隐私窗口 -part1 直接帧捕获-逆向工程-看雪安全社区

# 0、	基础知识的补充
虚拟机环境WIN11 24H2。
我们先通过注入的方式调用函数SetWindowDisplayAffinity，因为该视频加密播放器为了不判断系统版本提高兼容性，均设置参数2为0x1，这里为保持一致性也设置1，至此将我们的CE设置为了隐私窗口，截图和录屏效果为：
 ![](upload/attach/202601/907221_8B8MD2M7KWUW76U.webp)
我们转到win32kfull.sys中定位函数：NtUserGetWindowDisplayAffinity：
 ![](upload/attach/202601/907221_WTDA4X9MDWG7G59.webp)
函数将我们的窗口句柄通过函数ValidateHwnd转为了tagWND，通过IsTopLevelWindow判断是否是顶级窗口，这个函数体内也可以帮助我们修复部分tagWND结构的成员。我们可以通过调用ValidateHwnd函数的方式获取到CE窗口的tagWND，也可以通过24H2最顶级二叉树节点窗口句柄0x10002，遍历所有tagWND。GetDisplayAffinity函数的参数1依旧是我们获取到的tagWND。
 ![](upload/attach/202601/907221_MZ64986TBS2N4P6.webp)
W32GetUserSessionState函数可以通过win32k.sys函数查找到，当然用windbg也可以看到函数所在的模块，就是将全局变量gSessionGlobalSlots解引用两次即可。
 ![](upload/attach/202601/907221_RJ9YQYW8ZA6S5U2.webp)
这里我们也拿到了GetProp函数参数2的值，也就是0xC032。我们继续进入函数GetProp查看：
 ![](upload/attach/202601/907221_467VQPMW6E2TX78.webp)
通过调用函数RealGetProp最终得到对应窗口的DisplayAffinity的值。函数RealGetProp在模块win32kbase.sys中，我们在windbg中通过模拟执行来走一遍流程：
 ![](upload/attach/202601/907221_H5BXEGTPNBNTV34.webp)
 ![](upload/attach/202601/907221_YKJ46G5WJQ3TVPK.webp)
那么我们就走完了函数GetWindowDisplayAffinity进入内核获取DisplayAffinity的流程，这里并不是实际控制窗口保护的位置，你修改这里为0x0，依旧是隐私窗口。即使你注入到播放器进程，调用SetWindowDisplayAffinity，播放器应用层肯定会创建线程循环获取DisplayAffinity，发现被修改可以直接封禁账号。
我们转到函数NtUserSetWindowDisplayAffinity，依次通过SetDisplayAffinity->InternalSetProp->RealInternalSetProp来写入DisplayAffinity到我们刚刚查询到的位置。流程也非常简单就不再次废话了。
在SetDisplayAffinity中进入ChangeWindowTreeProtection再进入ProtectWindowBitmap再进入GreProtectSpriteContent就可以找到实际控制窗口隐私的位置：
 ![](upload/attach/202601/907221_JRC6YUWEUMYEC76.webp)
当然直接调用GreProtectSpriteContent将加密视频播放器的顶级窗口修改DisplayAffinity为0x0后，自行编写录制工具也是可以单独获取画面的。因为该加密视频播放器纯三环应用程序没有使用驱动。
进入DWMSPRITEREF::DWMSPRITEREF函数后，再进入DWMSPRITEREF::hspLookupWindow函数：
 ![](upload/attach/202601/907221_R7C22UZUPESBM84.webp)
可以看到数据结构依旧使用的二叉树，RtlLookupElementGenericTable中通又使用了HwndLookupCompareTableData函数进行查找，聪明的你肯定想要使用RtlDeleteElementGenericTable尝试删除二叉树节点，这样调用hspLookupWindow就无法找到我们播放器顶级窗口的相关节点信息。不过，还需要注意删除节点后的窗体不能被激活刷新，否则会出现一些异常。当然删除节点后也并非就完全找不到了，因为删除节点后PRTL_SPLAY_LINKS  Links->Parent依旧存在，TableRoot->LeftChild清零，TableRoot = TableRoot->RightChild清零，我们可以内存搜索hWnd，根据Links->Parent所在内存区段，并且左右子树清零的内存特征进行搜索。
接下来模拟获取hspLookupWindow函数返回值，调用HmgLock，根据偏移修改控制DisplayAffinity的位置。到windbg中来演示，首先还是按照IDA中的流程模拟执行hspLookupWindow，来查找CE窗口的entry：

```
__int64 SessionGoables = PDB.Gre_Base_Globals();
if (!SessionGoables){
	KLog("faild to get Gre_Base_Globals result", Error);
	return false;
}
KLog("SessionGoables = %llX", SessionGoables);

PRTL_GENERIC_TABLE SessionTable = ((WIN1124H2_SESSION_GLOBALS*)SessionGoables)->SessionTable;

PERESOURCE SessionTableLock = (PERESOURCE)((ULONG64)SessionTable + sizeof(RTL_GENERIC_TABLE));

if ((ULONG64)SessionTable != 0xFFFFFFFFFFFFFFB8uLL){
	bool bLock = PDB.DirectComposition_CCriticalSection_TryAcquireExclusive(SessionTableLock);
	if (!bLock){
		KLog("faild to DirectComposition_CCriticalSection_TryAcquireExclusive", Error);
		return false;
	}
}

WIN1124H2_SESSION_entry session_entry{};
session_entry.hWnd = (HWND)hWnd;

PVOID cache_entry = PDB.RtlLookupElementGenericTable(SessionTable, &session_entry);
if (cache_entry){
	KLog("cache_entry = %llX", false, cache_entry);
	if (!PDB.RtlDeleteElementGenericTable(SessionTable, cache_entry))
	{
		KLog("faild to RtlDeleteElementGenericTable", Error);
	}

__int64 v1 = *((__int64*)cache_entry + 1);
	KLog("v1 = %llX", v1);
}

if (SessionTableLock){
	PDB.ExReleaseResourceLite((PERESOURCE)SessionTableLock);
	PDB.KeLeaveCriticalRegion();
} 
```
 ![](upload/attach/202601/907221_2MQU7TEJBGBMQBT.webp)
因为IDA中Buffer[0] = a1;a1是窗口句柄，那么我们定位到的entry的位置也是窗口句柄所在的位置。然后我们到ntoskrnl.exe中查看函数RtlLookupElementGenericTable：
 ![](upload/attach/202601/907221_5CMXKVZABHGN7Q3.webp)
我们在windbg中查看我们的hWnd在二叉树中的哪一个位置：
 ![](upload/attach/202601/907221_W5HDVETZMZ9U8S9.webp)
可以看到在0x28的偏移处，我们对定位到的entry-0x28就是我们当前hWnd所在的子树：
 ![](upload/attach/202601/907221_BP4XVW68QU4VH6F.webp)
然后在hWnd地址+8的位置拿到HmgLog函数的参数1：
 ![](upload/attach/202601/907221_9HQ9KVURQ2F5SU3.webp)
回到这一行：
```
*(_DWORD *)(v28 + 0x8C) = (v2 << 6) | (v15 & 0xFFFFFFF7 ^ (8 * (a4 & 1))) & 0xFFFFFFBF;
```
 ![](upload/attach/202601/907221_SZQ58BZ75TK8MZK.webp)
当我们的DisplayAffinity设置为1时：
 ![](upload/attach/202601/907221_6J39YDDM38GJGT4.webp)
所以写入这个地址的值末位为9，将9清零即可实现去掉窗口隐私保护的目的。我们通过简单的右移左移指令即可实现。
当我们的DisplayAffinity设置为0x11时：
 ![](upload/attach/202601/907221_ZTGC2N4PCS4QWDM.webp)
同样清除这里的0x49即可。
# 1、	演示
~~避免版权问题已删除~~
对于音频录制该加密播放器并没有太多处理，直接采集电脑输出声音即可，然后视频与音频融合完成录制。当然蓝牙耳机加密播放的除外。
# 2、使用NVDIA显卡截图或者录制提示隐私窗口的问题
NVIDIA Corporation\ShadowPlay\CaptureCore.log保存了英伟达显卡运行时的所有调试输出语句，可以定位到错误信息，也可以分析截图流程与录制流程。通过Hook GetWindowDisplayAffinity调用链上不管是3环还是内核中的位置都可以。因为该加密播放器极其容易封号，一封就是24小时，还得找卖课的解除，这种方式就未测试了。NVIDA显卡的截屏与录制也是两套方案，NvApi调用失败通过注入DWM进程捕获，对于要开发加密播放器的话，即使GetWindowDisplayAffinity调用链被Hook也有多种多样的方式检测到。
# 3、映射窗口录制
遍历获取到加密播放器的顶级窗口后，使用：
```
DwmRegisterThumbnail
DwmUpdateThumbnailProperties
DwmUnregisterThumbnail
```
对新创建的窗口进行帧捕获也可以拿到画面。因为github上或者某E语言论坛开源例子很丰富，各位自行尝试三种方法的优缺点。当我们自行开发加密播放器时也能应对这些盗版翻录的小人。

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2026-1-13 18:29 被DannysMask编辑，原因：避免版权问题

#其他内容

最新回复 (29) 1 2 ▶
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 708 粉丝 7 关注私信	mb_ldbucrik 2 楼感谢分享 2026-1-2 16:43 0
啊你好哇123 雪币： 799 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 378 粉丝 0 关注私信	啊你好哇123 3 楼学习 2026-1-2 21:27 0
mb_urzqsoer 雪币： 206 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 121 粉丝 0 关注私信	mb_urzqsoer 4 楼 66666666666666666 2026-1-3 04:32 0
Imxz 雪币： 110 活跃值： (9576) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 775 粉丝 9 关注私信	Imxz 5 楼 tql 2026-1-3 08:59 0
__Shinn 雪币： 2743 活跃值： (1515) 能力值： ( LV7，RANK：100 ) 在线值：发帖 4 回帖 74 粉丝 85 关注私信	__Shinn 2 6 楼感谢分享 2026-1-4 10:06 0
dadaweqq 雪币： 0 活跃值： (143) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	dadaweqq 7 楼学习一波 2026-1-5 00:17 0
mb_euhyowpw 雪币： 2 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 153 粉丝 0 关注私信	mb_euhyowpw 8 楼 666 2026-1-5 19:07 0
fengyelan 雪币： 106 活跃值： (2054) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 101 粉丝 2 关注私信	fengyelan 9 楼 mark 2026-1-7 13:35 0
hzqst 雪币： 13006 活跃值： (10082) 能力值： ( LV9，RANK：280 ) 在线值：发帖 48 回帖 1818 粉丝 658 关注私信	hzqst 3 10 楼 mark 2026-1-7 22:40 0
joker陈雪币： 12279 活跃值： (4445) 能力值： ( LV5，RANK：71 ) 在线值：发帖 19 回帖 369 粉丝 4 关注私信	joker陈 11 楼 tql 2026-1-8 10:57 0
MsScotch 雪币： 4279 活跃值： (5166) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 397 粉丝 5 关注私信	MsScotch 12 楼 mark 2026-1-8 12:17 0
dkymore 雪币： 929 活跃值： (855) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	dkymore 13 楼 mark 2026-1-8 16:45 0
kagayaki 雪币： 2200 活跃值： (9360) 能力值： ( LV3，RANK：20 ) 在线值：发帖 179 回帖 1370 粉丝 30 关注私信	kagayaki 14 楼 mark 2026-1-8 20:58 0
5m10v3 雪币： 2704 活跃值： (4035) 能力值： ( LV8，RANK：134 ) 在线值：发帖 3 回帖 33 粉丝 7 关注私信	5m10v3 15 楼 mark 2026-1-9 15:47 0
AK1988DA 雪币： 74 活跃值： (875) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 112 粉丝 0 关注私信	AK1988DA 16 楼 9 2026-1-10 16:07 0
hungnguyen 雪币： 188 活跃值： (2181) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 114 粉丝 0 关注私信	hungnguyen 17 楼感谢分享 2026-1-11 21:04 0
huangjw 雪币： 6750 活跃值： (11967) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 515 粉丝 2 关注私信	huangjw 18 楼怎么用 2026-1-13 10:53 0
mb_tzevrfxb 雪币： 2 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_tzevrfxb 19 楼 hungnguyen 感谢分享感谢分享 2026-1-22 16:09 0
Mister丶寂静雪币： 219 活跃值： (35) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 7 粉丝 0 关注私信	Mister丶寂静 20 楼感谢分享 2026-1-31 18:23 0
mb_zuuyenge 雪币： 13 活跃值： (1308) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 15 粉丝 0 关注私信	mb_zuuyenge 21 楼感谢分享 2026-2-7 19:51 0
青庭雪币： 39 活跃值： (1197) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 59 粉丝 0 关注私信	青庭 22 楼 6 2026-2-15 17:41 0
mb_xuerryjo 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	mb_xuerryjo 23 楼 165 2026-2-25 14:16 0
漆黑火焰魔法使雪币： 0 活跃值： (406) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 49 粉丝 0 关注私信	漆黑火焰魔法使 24 楼学习打卡，感谢分享这个窗口保护逆向思路。 2026-3-4 20:52 0
小迷糊ddd 雪币： 268 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 152 粉丝 0 关注私信	小迷糊ddd 25 楼感谢分享，学习一下。 2026-4-8 11:53 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复