首页
社区
课程
招聘
[讨论]反劲舞3.1 HShield 的问题
发表于: 2007-8-15 12:58 13154

[讨论]反劲舞3.1 HShield 的问题

2007-8-15 12:58
13154

郁闷了,以前的方法都不能用了!

就GetPixel饶法来说

1.修改自己程序不让EhSvc.dll等DLL挂钩自己的程序
  可是现在HShield都在驱动级拦截服务SDT,所以应用层对抗没意思了

2.用汇编自己写GETpixel
function xiaocall(x1,x2,x3:DWORD):DWORD;
asm
mov     eax, $10BF
mov     edx, $7FFE0300
call    dword ptr [edx]
ret    $0C
end;

function GetPixelA(DC: HDC; X, Y: Integer): COLORREF;stdcall
asm
push    ebx
mov     ebx, dword ptr [ebp+$8]
mov     eax, ebx
push    edi
and     eax, $0FFFF
or      edi, $FFFFFFFF
cmp     eax, $10000
jnb     @@2
shl     eax, $4
add     eax, dword ptr [$77F33000]
cmp     byte ptr [eax+$A], 1
jnz     @@2
mov     ecx, ebx
shr     ecx, $10
cmp     word ptr [eax+$8], cx
jnz     @@2
mov     ecx, dword ptr [eax+$4]
and     ecx, $FFFFFFFE
cmp     ecx, dword ptr [$77F33004]
jnz     @@2
push    esi
mov     esi, dword ptr [eax+$C]
test    esi, esi
je      @@1
push    dword ptr [ebp+$10]
push    dword ptr [ebp+$C]
push    ebx
call    xiaocall
mov     edi, eax
mov     eax, dword ptr [esi+$5C]
@@1:
pop     esi
@@2:
mov     eax, edi
pop     edi
pop     ebx
end;

  可是现在HShield都在驱动级拦截服务SDT,所以应用层对抗没意思了
3.用BITMAP实现
function GetPixelEx(DC: HDC; X, Y: Integer): COLORREF;stdcall
label
js;
var
p:pRGBArray;
yansebmp:TBitmap;
begin
try
  Result:=$FFFFFFFF;
  yansebmp:=TBitmap.Create;
  IF not Assigned(yansebmp) then Exit;
  yansebmp.PixelFormat:=pf24bit;

  yansebmp.Height:=1;
  yansebmp.Width:=Screen.Width;

  BitBlt(yansebmp.Canvas.Handle,           //目标dc,也就是Image1的dc
                  0,                                                     //复制到Image1的x   =   0处
                  0,                                                     //复制到Image1的y   =   0处
                  1,                             //复制Image1->Width这么宽
                  1,                           //复制Image1->Height这么宽
                  DC,                                     //源dc
                  x,                                                     //从桌面的x   =   0处开始复制
                  y,                                                     //从桌面的y   =   0处开始复制
                  SRCCOPY                                           //指定为直接复制过去,不做处理
                  );
  p:=yansebmp.ScanLine[0];
  Result:=RGB(p[0].rgbtRed,p[0].rgbtGreen,p[0].rgbtBlue);
  yansebmp.free;
  Form1.Panel1.Color:=Result;
  exit;
except

end;
Result:=$FFFFFFFF;
yansebmp.free;
end;
消耗CPU太厉害不说,现在也只对GETDC(0)的场景有效 其他也被驱动层拦截了

4.HOOK程序  劲舞团本身的程序里实现GETPIXEL 因为劲舞3.0版本以及以前版本,对自己进程是放行的,现在3.1版本也不能用此漏洞了!

5.Rootkit 方法  我把自己的进程链从物理内存里删掉  以前老版本可以用 现在新版本也不成了

6.驱动对抗  驱动不怎么精通 以前写个修复SDT的  但是没用!现在想不出什么好的办法来实现GETPIXEL  跪求点子


[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 7
支持
分享
最新回复 (14)
雪    币: 203
活跃值: (29)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
来晚了。。  就看不到了。。。
现在还是有用就不发了。。。
2007-8-15 13:15
0
雪    币: 193
活跃值: (26)
能力值: ( LV9,RANK:210 )
在线值:
发帖
回帖
粉丝
3
这个没什么用了哦
2007-8-15 15:50
0
雪    币: 201
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
娃娃?
2007-8-15 18:12
0
雪    币: 203
活跃值: (29)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
跟了一下 还是有用的  多了个检查而已。
为啥非要取点呢?  直接修改判断不是更好吗?
2007-8-15 20:09
0
雪    币: 193
活跃值: (26)
能力值: ( LV9,RANK:210 )
在线值:
发帖
回帖
粉丝
6
娃娃 可以加你QQ吗?
2007-8-16 09:38
0
雪    币: 331
活跃值: (56)
能力值: ( LV13,RANK:410 )
在线值:
发帖
回帖
粉丝
7
晕。不要被AnLAB的的看见。。
Hs的功能向NP看齐了。貌似现在功能上差距很小了。差距只是效验上了。
2007-8-16 22:34
0
雪    币: 226
活跃值: (15)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
8
Hackshiled 后来的版本越来越NB了,尽学NP。
2007-8-16 23:26
0
雪    币: 193
活跃值: (26)
能力值: ( LV9,RANK:210 )
在线值:
发帖
回帖
粉丝
9
哎 没办法了吗?
2007-9-1 18:22
0
雪    币: 325
活跃值: (97)
能力值: ( LV13,RANK:530 )
在线值:
发帖
回帖
粉丝
10
注入进去试试?总不能够拦截自己吧。
2007-9-1 18:31
0
雪    币: 356
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
这话说的有问题哦?驱动层难道是NP的专利?
况且据我所知,HS比NP先利用驱动层钩子对进程进行保护。只不过一直以来HS走的基本上还算正道,包括XTRAP也是,NP确越走越邪。不把注意力放到技术层次,转而利用一些取巧的东西。
2007-9-3 10:21
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
12
只能证明NP够聪明。
你要做的只是比他更聪明。
自己写驱动吧
2007-9-5 09:53
0
雪    币: 108
活跃值: (141)
能力值: ( LV9,RANK:490 )
在线值:
发帖
回帖
粉丝
13
其实都很蠢,嘿嘿
2007-9-7 11:34
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
14
ring0?
2007-9-8 07:35
0
雪    币: 221
活跃值: (10)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
15
全是高手啊,这么复杂的问题真牛
2007-12-12 16:03
0
游客
登录 | 注册 方可回帖
返回
//