首页
论坛
课程
招聘
[原创]终极hook技术
2013-2-10 21:28 22090

[原创]终极hook技术

2013-2-10 21:28
22090

直接修改自己的内核文件
在KiFastCallEntry里面写入

mov eax,07FFE0800h
mov eax,[eax]
test eax,eax
je @f
jmp eax
@@:

continue
code xxxxxxxxxx

然后进行checksun
然后重启系统

最后在7FFE0800 写入东西,你懂的 ~~~

仅限自己系统,而且也能用于x64系统,再重载下内核.反任何游戏保护

第五届安全开发者峰会(SDC 2021)10月23日上海召开!限时2.5折门票(含自助午餐1份)

收藏
点赞0
打赏
分享
最新回复 (47)
雪    币: 177
活跃值: 活跃值 (260)
能力值: (RANK:290 )
在线值:
发帖
回帖
粉丝
viphack 活跃值 4 2013-2-10 22:00
2
0
~~~~你一发出来 接着~~
雪    币: 527
活跃值: 活跃值 (76)
能力值: ( LV12,RANK:360 )
在线值:
发帖
回帖
粉丝
Mx¢Xgt 活跃值 7 2013-2-10 22:59
3
0
仅限自己系统
那用处不大啊
雪    币: 346
活跃值: 活跃值 (27)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
学雄 活跃值 1 2013-2-11 05:41
4
0
你还想大用处?也就是做给别人用?这种东西,自己偷着乐啊~
反游戏保护貌似不是什么光明正大的东西吧~
雪    币: 298
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
tedrick 活跃值 2013-2-11 07:56
5
0
mark,测试之~
雪    币: 2919
活跃值: 活跃值 (807)
能力值: ( LV13,RANK:240 )
在线值:
发帖
回帖
粉丝
IamHuskar 活跃值 4 2013-2-11 08:03
6
0
校验本地文件怎么办?
雪    币: 25
活跃值: 活跃值 (13)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
邋遢鬼 活跃值 2013-2-11 08:15
7
0
test eax,eax
jnz @f
jmp eax
@@:
continue
搞不懂了,为何不为0就Continue,为0 就jmp到0?
雪    币: 346
活跃值: 活跃值 (27)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
学雄 活跃值 1 2013-2-11 09:05
8
0
手误,
其实我用masm都是
.if eax
    jmp eax
.endif

,这里貌似弄反了~ jnz jz 什么的太难记了~况且从不用~~
雪    币: 346
活跃值: 活跃值 (27)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
学雄 活跃值 1 2013-2-11 09:12
9
0
对付校验文件证书什么的,让去校验去吧,反正文件就是被破坏了
有本事修复啊,不过呢,微软的补丁大把大把的,也许哪天强制修复引发蓝屏死机什么,你这个xxx保护系统名誉可就
受损了~~~~~
雪    币: 376
活跃值: 活跃值 (25)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
peparam 活跃值 2013-2-11 09:25
10
0
这个要试试看,说不定用得着
雪    币: 111
活跃值: 活跃值 (72)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
pinggle 活跃值 2013-2-11 10:47
11
0
Mark 一下 。。
雪    币: 48
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
mengzhou 活跃值 2013-2-11 11:04
12
0
呵呵,这个可以有。。。
雪    币: 8670
活跃值: 活跃值 (814)
能力值: ( LV12,RANK:760 )
在线值:
发帖
回帖
粉丝
cvcvxk 活跃值 10 2013-2-11 12:01
13
0
固化hook,多年前就讲过了~~~
雪    币: 727
活跃值: 活跃值 (60)
能力值: ( LV9,RANK:380 )
在线值:
发帖
回帖
粉丝
Winker 活跃值 8 2013-2-11 13:37
14
0
重载下内核就过任何游戏保护,你太不了解暗装了。
雪    币: 346
活跃值: 活跃值 (27)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
学雄 活跃值 1 2013-2-11 16:14
15
0
好吧,32位系统也许会中暗装,64位系统,可以说是无懈可击的,至少我看了这么多帖子
也没发现有什么解法,除非游戏保护也学咱们,给内核打补丁,不过嘛,这是在拿招牌开玩笑~~~

顺带一说,x64系统下很好的转移了矛盾,原本的矛盾是我们突破游戏保护,但我们给内核打了补丁之后
微软很牛逼,直接用它的PatchGuard保护了我们的补丁,直接把矛盾变成了 游戏保护系统对抗PatchGuard
雪    币: 346
活跃值: 活跃值 (27)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
学雄 活跃值 1 2013-2-11 16:57
16
0
貌似调试寄存器有点用处能突破我们的防御,不过,我们又把
int 1 ,int2 ,中断例程也用这种方法接管,然后抢先设置dx调试寄存器,
只要再牢牢掌握住调试寄存器

其他什么debugport清零什么什么手段的,直接我都不想改debugport偏移,
我直接在我们重载的内核中把获取Eprocess的函数也hook掉,直接就伪造一个新EPRCOCESS给
内核来访问
顺带把我们的新内核的线程调度也进行hook,这样
不敢想象,游戏保护系统直接就废了。。。

说了这么多,纯是理论,目前偶还没编码哦~~~
雪    币: 727
活跃值: 活跃值 (60)
能力值: ( LV9,RANK:380 )
在线值:
发帖
回帖
粉丝
Winker 活跃值 8 2013-2-11 17:14
17
0
纸上谈兵~~~
雪    币: 8670
活跃值: 活跃值 (814)
能力值: ( LV12,RANK:760 )
在线值:
发帖
回帖
粉丝
cvcvxk 活跃值 10 2013-2-13 08:36
18
0
话说,我表示patchguard其实弱不经风~~~pagehack+hook xxxdpcxx完美藐视patchguard,连vt都省了
雪    币: 184
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
fiorentina 活跃值 2013-2-13 10:34
19
0
这个需要做个记号
雪    币: 346
活跃值: 活跃值 (27)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
学雄 活跃值 1 2013-2-13 14:05
20
0
pagehack居然有用啊,很好,那咱也这样了,
只能说明微软又白痴了下~
雪    币: 244
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
yuxuegong 活跃值 2013-3-3 05:01
21
0
[QUOTE=学雄;1142055]
直接修改自己的内核文件
在KiFastCallEntry里面写入

mov eax,07FFE0800h
mov eax,[eax]
test eax,eax
je @f
jmp eax
@@:

continue
code xxxxxxxxxx

然后进行checksun
然后重...[/QUOTE]

写入什么数据 不懂 稍微指点一下
雪    币: 23
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
小P孩儿 活跃值 2013-3-3 08:13
22
0
确实不错。。。
雪    币: 198
活跃值: 活跃值 (76)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
yamidie 活跃值 2013-3-3 19:53
23
0
此贴MARK
雪    币: 270
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
SIsIa 活跃值 2013-3-3 22:18
24
0
求老V教育啊!
雪    币: 1099
活跃值: 活跃值 (327)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
loqich 活跃值 2013-3-4 21:19
25
0
。。。。。动动手试试,会蓝得很开心
游客
登录 | 注册 方可回帖
返回