NP=nProtect GameGuard
***********************************************************************************
**标题:逆向NP之注入npggNT.des
**作者:堕落天才
**时间:2007-2-1
************************************************************************************
   
    我们知道NP启动后会向所有进程注入模块npggNT.des,这个过程包括:向目标进程注入执行代码及数据,创建远程线程,远程线程执行,装入

npggNT.des。之后的事我们都知道了:npggNT.des挂钩关键系统函数。在得到NP注入代码前，这个注入过程我想对于象我这样的菜鸟来说是非常

神秘的，于是就产生了种种幻想，装入npggNT.des是不是使用更底层的系统函数？还是NP自己构建的LoadLibrary?又或是使用COPY来的系统函

数代码？但是这两天分析的结果令我大跌眼睛它竟然是使用LoadLibraryA装入npggNT.des的，这怎么可能？？但事实上真的是这样，下面我们

来看看代码就知道了。
   
    1,主要代码（这里是npggNT.des装入的主要执行过程，要看完整的二进制代码请看附件NPRemotThread.asm，编译后反汇编看）

代码:
00C10000    59              pop     ecx                              
00C10001    58              pop     eax                              
00C10002    51              push    ecx                              ;这里是一般函数都会做的寄存器压栈，好像没什么好说
00C10003    53              push    ebx
00C10004    55              push    ebp
00C10005    56              push    esi
00C10006    57              push    edi
00C10007    2BC9            sub     ecx, ecx                         ; ecx清零
00C10009    E8 00000000     call    00C1000E
00C1000E    5B              pop     ebx                              ; ebx=00C100E ->自定位函数入口地址
00C1000F    64:8B51 30      mov     edx, fs:[ecx+30]                 ; [ecx+30]=[30]
00C10013    83C3 F2         add     ebx, -0E                         ; EBX-E=00C10000 ->线程起始地址
00C10016    85C0            test    eax, eax
00C10018    53              push    ebx                              ; ebx指向线程起始地址
00C10019    50              push    eax                              ; 0
00C1001A    E8 23000000     call    00C10042

00C10042    64:FF31         push    dword ptr fs:[ecx]               ; fs:[ecx]=fs:[0]->SEH安装
00C10045    64:8921         mov     fs:[ecx], esp
00C10048    89A3 93000000   mov     [ebx+93], esp                    ; SMC [ebx+93]=[00C10093]->保存SEH返回的ESP
00C1004E    78 2C           js      short 00C1007C
00C10050    394A 0C         cmp     [edx+C], ecx                     ; [edx+c]=[7FFDC00C]=00241EA0
00C10053    75 30           jnz     short 00C10085

00C10085    68 0000807C     push    7C800000                         ; kernel32.dll 的HANDLE －>这里NP硬编码了kernel32.dll的

句柄
00C1008A    53              push    ebx                              ; 线程起始地址
00C1008B    50              push    eax                              ; 0
00C1008C    FC              cld
00C1008D    E8 16010000     call    00C101A8

00C101A8    E8 00000000     call    00C101AD
00C101AD    5F              pop     edi                              ; EDI=00C101AD ->函数入口地址
00C101AE    8B5424 0C       mov     edx, [esp+C]                     ; EDX=kernel32.dll HANDLE
00C101B2    81C7 EF010000   add     edi, 1EF                         ; EDI=00C1039C ->npggNT.des路径
00C101B8    8D77 E4         lea     esi, [edi-1C]                    ; ESI=00C10380
00C101BB    6A 04           push    4
00C101BD    59              pop     ecx                              ; ECX=4
00C101BE    AD              lods    dword ptr [esi]
00C101BF    8B28            mov     ebp, [eax]                       ; 这里非常精彩，后面会详细分析
00C101C1    03EA            add     ebp, edx                         ;
00C101C3    896E FC         mov     [esi-4], ebp                     ;
00C101C6  ^ E2 F6           loopd   short 00C101BE
00C101C8    8B5F FE         mov     ebx, [edi-2]                     ; [edi-2]=[00C1039A]=3A440002
00C101CB    0B5F FA         or      ebx, [edi-6]                     ; [edi-6]=[00C10396]=00090100 EBX=3A4D0102
00C101CE    8B47 F4         mov     eax, [edi-C]                     ; [edi-C]=[00C10390]=00000003
00C101D1    66:894F FA      mov     [edi-6], cx                      ; word ptr [edi-6]=[00C10396]=cx=0
00C101D5    F6C7 08         test    bh, 8                            ; bh=01 and 8 =0001b and 1000b =0
00C101D8    0F85 CA000000   jnz     00C102A8
00C101DE    8B07            mov     eax, [edi]                       ; [edi]=[00C1039C]=475C3A44->npggNT.des路径
00C101E0    F6C7 02         test    bh, 2                            ; bh=01 and 2 =0001b and 0010b=0
00C101E3    75 10           jnz     short 00C101F5
00C101E5    8BF0            mov     esi, eax                         ; esi->npggNT.des路径开始4个字节
00C101E7    85C0            test    eax, eax                         ; 判断路径是不是为空
00C101E9    74 02           je      short 00C101ED
00C101EB    8BF7            mov     esi, edi                         ; esi=00C1039C
00C101ED    84DB            test    bl, bl                           ; bl=02
00C101EF    56              push    esi                              ; \
00C101F0    78 3D           js      short 00C1022F                   ;  eax=GetModuleHandleA("D:\\...\\npggNT.des")
00C101F2    FF57 E4         call    [edi-1C]                         ; /
00C101F5    F6C3 02         test    bl, 2                            ; bl=02
00C101F8    75 4B           jnz     short 00C10245                   ; bl 不等于零 跳转实现

00C10245    F6C7 02         test    bh, 2                            ; bh=01
00C10248    75 2F           jnz     short 00C10279                   ; bh=01 and 2=0001b and 0010b=0 跳转未实现
00C1024A    85F6            test    esi, esi                         ; esi=00C1039C->npggNT.des所在路径
00C1024C    74 2B           je      short 00C10279                   ; 不为零
00C1024E    F6C7 01         test    bh, 1                            ; bh=01 and 1=0001b and 0001b=1
00C10251    74 04           je      short 00C10257
00C10253    85C0            test    eax, eax                         ; eax是执行GetModuleHandleA("D:\\...\\npggNT.des")的结果
00C10255    75 22           jnz     short 00C10279                   ; 确定npggNT.des未被加载
00C10257    FF4F F8         dec     dword ptr [edi-8]                ; [00C10394]=00000001-1=0 jmp回来-1=-1
00C1025A    78 1D           js      short 00C10279                   ; 不为负 为负跳
00C1025C    84DB            test    bl, bl                           ; bl=02
00C1025E    56              push    esi                              ; \
00C1025F    78 05           js      short 00C10266                   ;  eax=LoadLibraryA("D:\\...\\npggNT.des")
00C10261    FF57 E8         call    [edi-18]                         ; /
00C10264  ^ EB F1           jmp     short 00C10257

00C10279    85C0            test    eax, eax                         ; eax为模块npggNT.des的句柄
00C1027B    75 07           jnz     short 00C10284
00C1027D    B8 B6F3C2E1     mov     eax, E1C2F3B6
00C10282    EB 64           jmp     short 00C102E8
00C10284    8B4F F4         mov     ecx, [edi-C]                     ; [edi-C]=[00C10390]=00000003
00C10287    F6C7 04         test    bh, 4                            ; bh=01 and 4=0001b and 0100b=0
00C1028A    74 04           je      short 00C10290
00C1028C    03C1            add     eax, ecx
00C1028E    EB 18           jmp     short 00C102A8
00C10290    85C9            test    ecx, ecx                         ; ecx=3
00C10292    75 0B           jnz     short 00C1029F
00C10294    8D8F 04010000   lea     ecx, [edi+104]
00C1029A    8039 00         cmp     byte ptr [ecx], 0
00C1029D    74 49           je      short 00C102E8
00C1029F    84DB            test    bl, bl                           ; bl=02
00C102A1    51              push    ecx                              ; \
00C102A2    50              push    eax                              ;   eax=GetProcAddress(HandleOfNpggNT.des,03)
00C102A3  ^ 78 CB           js      short 00C10270
00C102A5    FF57 F0         call    [edi-10]                         ; /
00C102A8    85C0            test    eax, eax                         ; eax=458A1830->npggNT.des function #03
00C102AA    75 07           jnz     short 00C102B3
00C102AC    B8 B7F3C2E1     mov     eax, E1C2F3B7
00C102B1    EB 35           jmp     short 00C102E8
00C102B3    8AD7            mov     dl, bh                           ; dl=bh=01
00C102B5    0FB74F FC       movzx   ecx, word ptr [edi-4]            ; ecx=word ptr [edi-4]=[00C10398]=0009=00000009
00C102B9    8BD8            mov     ebx, eax                         ; ebx=eax=npggNT.des.func#03
00C102BB    8BEC            mov     ebp, esp                         ; esp=00E1FF8C
00C102BD    E3 24           jecxz   short 00C102E3                   ; ecx=9
00C102BF    8DBF 0C030000   lea     edi, [edi+30C]                   ; [edi+30C]=[00C1039C+30C]->00C106A8
00C102C5    8D748F FC       lea     esi, [edi+ecx*4-4]               ; [edi+ecx*4-4]=[00C1039C+9*4-4]->00C106C8
00C102C9    FD              std
00C102CA    E8 58000000     call    00C10327                         ; 该函数用来装入某些数据 然后判断
00C102CF    A8 80           test    al, 80                           ; al=01
00C102D1   /75 18           jnz     short 00C102EB
00C102D3   |A8 40           test    al, 40
00C102D5   |75 19           jnz     short 00C102F0
00C102D7   |A8 20           test    al, 20
00C102D9   |75 26           jnz     short 00C10301
00C102DB   |A8 10           test    al, 10
00C102DD   |75 2B           jnz     short 00C1030A
00C102DF   |AD              lods    dword ptr [esi]                  ; [esi]=[00C106C8]=0
00C102E0   |50              push    eax
00C102E1  ^|E2 FC           loopd   short 00C102DF
00C102E3   |FC              cld
00C102E4   |FFD3            call    ebx                              ; ebx=458A1830->npggNT.des.func#03 ->这里npggNT.des就开

始工作了
00C102E6   |8BE5            mov     esp, ebp
00C102E8   |C2 0C00         retn    0C

00C10092    BC 9CFFE100     mov     esp, 0E1FF9C                     ;还记得这里么？忘了请回头看00C10048处代码
00C10097    64:8F05 0000000>pop     dword ptr fs:[0]                 ;SEH异常返回这里
00C1009E    59              pop     ecx
00C1009F    8A4C24 02       mov     cl, [esp+2]
00C100A3    5A              pop     edx
00C100A4    8AF1            mov     dh, cl
00C100A6    59              pop     ecx
00C100A7    5F              pop     edi
00C100A8    5E              pop     esi
00C100A9    5D              pop     ebp
00C100AA    5B              pop     ebx
00C100AB    F6C6 40         test    dh, 40
00C100AE    75 16           jnz     short 00C100C6
00C100B0    F6C6 20         test    dh, 20
00C100B3    74 07           je      short 00C100BC

00C100BC    F6C2 04         test    dl, 4
00C100BF    5A              pop     edx
00C100C0    58              pop     eax
00C100C1    58              pop     eax
00C100C2    74 2E           je      short 00C100F2

00C100F2    6A 00           push    0
00C100F4    8BC4            mov     eax, esp
00C100F6    51              push    ecx
00C100F7    8BCC            mov     ecx, esp
00C100F9    56              push    esi
00C100FA    6A FE           push    -2
00C100FC    52              push    edx
00C100FD    68 00800000     push    8000
00C10102    50              push    eax
00C10103    51              push    ecx
00C10104    6A FF           push    -1
00C10106    52              push    edx
00C10107    E8 AAFFFFFF     call    00C100B6
00C1010C    E8 04000000     call    00C10115
00C10111    03D0            add     edx, eax
00C10113    FFE2            jmp     edx                             ; ntdll.ZwFreeVirtualMemory ->这个函数执行完毕后，这段代

码就消失了
00C10115    8B15 043C927C   mov     edx, [7C923C04]
00C1011B    C3              retn

数据:
00C10374  47 65 74 4D 6F 64 75 6C 65 48 61 6E 28 2C 80 7C  GetModuleHan(,?
00C10384  58 2F 80 7C 14 2A 80 7C B0 2C 80 7C 03 00 00 00  X/?*???...
00C10394  01 00 00 01 09 00 02 00 44 3A 5C 47 61 6D 65 5C  .....D:\Game\
00C103A4  BE AA CC EC B6 AF B5 D8 43 61 62 61 6C 20 4F 6E  惊天动地Cabal On
00C103B4  6C 69 6E 65 5C 47 61 6D 65 47 75 61 72 64 5C 6E  line\GameGuard\n
00C103C4  70 67 67 4E 54 2E 64 65 73                       pggNT.des

      **********************************************************************************************************
      2,精彩地方分析

      看完上面代码后,不知你有没有失望的感觉。但我是有的，因为以前一直觉得神秘的东西一下子变得不神秘，而且不是自己想象中那样，

真的有点失望。但是代码里面也有一些精彩的地方值得学习。

      2.1,自定位

      在远程进程里面我们不能象在本地进程那样方便地使用数据，当我们不得已需要用到某数据时，就需要定位数据。数据COPY到远程进程

后，怎么把它找出来呢？上面可以看到npggNT.des路径地址在00C1039C，但是本地线程一般不知道有个00C1039C,我们看看NP怎么把它找出来。
00C10009    E8 00000000     call    00C1000E
00C1000E    5B              pop     ebx                              ; ebx=00C100E ->自定位函数入口地址
00C1000F    64:8B51 30      mov     edx, fs:[ecx+30]                 ; [ecx+30]=[30]
00C10013    83C3 F2         add     ebx, -0E                         ; EBX-E=00C10000 ->线程起始地址
      我们知道call指令执行完毕之后,当前esp保存了函数返回地址－call指令下一条指令执行的地址，看看上面
      call 00C1000E
00C1000E:
       pop  ebx   ;ebx->call指令下一条指令的地址，那正好就是pop ebx的地址
       哈哈，定位了一条指令的地址后，原理上我们就可以把整一段代码定位了，比如上面通过 add  ebx, -0E 就把ebx指向线程的起始位置

，这样通过ebx相对寻址的话，整段代码的位置都可以确定了。
      上面还有一个自定位的地方
00C101A8    E8 00000000     call    00C101AD
00C101AD    5F              pop     edi          ; EDI=00C101AD ->函数入口地址
       原理就跟上面分析的一样了。
   
      2.2找系统函数

      略一看上面代码，不知道你会不会决定奇怪，GetModuleHandleA,LoadLibraryA,FreeLibrary,GetProcAddress这些kernel32.dll里面的

函数是怎么来的呢？
     为什么
00C101F2    FF57 E4         call    [edi-1C]
     就是GetModuleHandleA呢？我们先分析一下这段代码:

00C101A8    E8 00000000     call    00C101AD
00C101AD    5F              pop     edi                              ; EDI=00C101AD ->函数入口地址
00C101AE    8B5424 0C       mov     edx, [esp+C]                     ; EDX=kernel32.dll HANDLE
00C101B2    81C7 EF010000   add     edi, 1EF                         ; EDI=00C1039C ->npggNT.des路径
00C101B8    8D77 E4         lea     esi, [edi-1C]                    ; ESI=00C10380
00C101BB    6A 04           push    4
00C101BD    59              pop     ecx                              ; ECX=4
00C101BE    AD              lods    dword ptr [esi]                  ;从00C10380开始依次4个字节地取出某数据，循环四次
00C101BF    8B28            mov     ebp, [eax]                       ;根据数据寻址，将其指向的数据拿出来保存到ebp
00C101C1    03EA            add     ebp, edx                         ; ebp+=edx,上面可以看到edx=kernel32.dll的句柄也就是装
00C101C3    896E FC         mov     [esi-4], ebp                     ; 载基地址了，基地址+偏移(基地址+RVA)，想到了么？  
    好了，我们先看看00C10380跟其后面的数据是什么
    dword ptr [00C10380]=7C802C28
    dword ptr [00C10384]=7C802F58
    dword ptr [00C10388]=7C802A14
    dword ptr [00C1038C]=7C802CB0
    然后找到这些数据所指向的地址再看看
    [7C802C28]=B529
    [7C802F58]=1D77
    [7C802A14]=AA66
    [7C802CB0]=AC28
    然后把他们加上kernel32.dll的基地址也就是handle(如果你忘了的话，请看00C10085行)
    7C800000+B529->GetModuleHandleA
    7C800000+1D77->LoadLibraryA
    7C800000+AA66->FreeLibrary
    7C800000+AC28->GetProcAddress
    到这里我们终于可以明白了，原来这些函数是这样来的。然后这些函数地址分别保存到00C10380、00C10384、00C10388及00C1038C中

    2.3自修改代码

    不知你有没有留意，上面有一个小小的自修改。
00C10048    89A3 93000000   mov     [ebx+93], esp          ; SMC [ebx+93]=[00C10093]->保存SEH返回的ESP
00C10092    BC 9CFFE100     mov     esp, 0E1FF9C           ;
    在mov [ebx+93], esp 指令执行前00C10092处的代码是mov esp,0 执行后就变成上面这个样子了。这里是把ESP数值直接写入代码里，呵呵

，可以省了一个变量。
   
   ************************************************************************************************************
   3，逆向代码(C)

   根据上面的分析，我们已经可以理解NP装入npggNT.des的主要方法了，下面是代码，忽略了各种判断跳转。而且由于是用C来写，所以这里

没有用到自定位，而是直接把数据的地址当参数传递给线程函数（更详细代码请看附件InjectDll.cpp）。

   //////////////////////////////////声明API////////////////////////////////
typedef HMODULE (WINAPI*GETMODULEHANDLEA)(LPCSTR lpModuleName);             //GetModuleHandleA
typedef HMODULE (WINAPI*LOADLIBRARYA)(LPCSTR lpLibFileName);                //LoadLibraryA
typedef BOOL    (WINAPI*FREELIBRARY)(HMODULE hLibModule);                   //FreeLibrary
typedef FARPROC (WINAPI*GETPROCADDRESS)(HMODULE hModule,LPCSTR lpProcName); //GetProcAddress

//////////////////////////////////定义数据结构//////////////////////////////
typedef struct _INJECTDATA
{
        BYTE                bName[12];                       //12 bytes="GetModuleHan";
        GETMODULEHANDLEA   _GetModuleHandleA;                //4  bytes=hKernel32+0x2C28 －>输出函数地址表
        LOADLIBRARYA       _LoadLibraryA;                    //4  bytes=hKernel32+0x2F58
        FREELIBRARY        _FreeLibrary;                     //4  bytes=hKernel32+0x2A14
        GETPROCADDRESS     _GetProcAddress;                  //4  bytes=hKernel32+0x2CB0
        BYTE               someNumber[12];                   //12 bytes  
        TCHAR              szLibraryPath[MAX_PATH];          //MAX_PATH       
}INJECTDATA,*PINJECTDATA;

///////////////////////////////////定义远程线程////////////////////////////////////////////
static VOID WINAPI RemoteThread(LPVOID lpParam)
{       
        PINJECTDATA myData=(PINJECTDATA)lpParam;
        DWORD       dwGetModuleHandleA,
                        dwLoadLibraryA,
                                dwFreeLibrary,
                                dwGetProcAddress,
                    hKernel32;

        dwGetModuleHandleA= (DWORD)myData->_GetModuleHandleA;
        dwLoadLibraryA    = (DWORD)myData->_LoadLibraryA;
        dwFreeLibrary     = (DWORD)myData->_FreeLibrary;
        dwGetProcAddress  = (DWORD)myData->_GetProcAddress;
        hKernel32         =        myData->hKernel32;

    ///////////////////////下面的汇编代码是根据输出函数地址表找到相应的函数地址的RVA值////////////
         _asm{               
                mov  ebx,hKernel32            // <--- 这个是kernel32.dll的句柄,NP直接硬编码到这里

                mov  eax,dwGetModuleHandleA
                mov  edx,[eax]                // <--- 根据地址表找出相应函数的RVA值
                add  edx,ebx                  // <--- 函数地址=模块加载基地址(即handle)+相应RVA值
                mov  dwGetModuleHandleA,edx  

                mov  eax,dwLoadLibraryA
                mov  edx,[eax]
                add  edx,ebx
                mov  dwLoadLibraryA,edx

                mov  eax,dwFreeLibrary
                mov  edx,[eax]
                add  edx,ebx
                mov  dwFreeLibrary,edx

                mov  eax,dwGetProcAddress
                mov  edx,[eax]
                add  edx,ebx
                mov  dwGetProcAddress,edx
        }
         ///////////////////////////////////////////////////////////////////

    myData->_GetModuleHandleA= (GETMODULEHANDLEA)dwGetModuleHandleA;
    myData->_LoadLibraryA    = (LOADLIBRARYA)    dwLoadLibraryA;
    myData->_FreeLibrary     = (FREELIBRARY)     dwFreeLibrary;
    myData->_GetProcAddress  = (GETPROCADDRESS)  dwGetProcAddress;

    myData->_LoadLibraryA(myData->szLibraryPath); // 加载DLL
        ////////////////////////////////////////////////////
        //你可以在这里添加其他代码
        //////////////////////////////////////////////////
}
**********************************************************************************************************
   4,总结
   还有什么想说呢？你是不是想说“我hook了LoadLibraryA后npggNT.des是不是就无法载入了?” ,我想理论上是。上面的代码没有对

LoadLibraryA进行任何的检校，但是我们别忘了还有一个NP主进程GameMon.des,这些事应该是它来干的。从反npggNT.des注入来说，我想这里

并没有比上一篇文章《反NP监视原理》更有价值，只是我们可以学习一点东西，明白一点东西而已。  

   最后是废话，我只是一个小菜鸟，跟我真正交流过的人都会非常认同这个观点，千万别来找我做挂，我只是对技术感兴趣。反NP监视、读写

游戏内存（NP保护下）这两个工具在两个月前就已经发布在我所加入的所有技术Q群了，比两篇文章出现还早很多。我想既然文章都出来了，就

更没必要拿到看雪上面来浪费空间了，看看文章就知道怎么回事。实际上它们不会给你更大的惊喜，用过的朋友都知道。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课