標 題: 【原創】散談遊戲保護那點事~就從_TP開始入手吧
作 者: crazyearl
時 間: 2010-12-20,02:37:22
鏈 接: http://bbs.pediy.com/showthread.php?t=126802
聲明:本文只爲研究技術,請所有童鞋切勿使用本文之方法做下那天理難容罪惡不捨之壞事。
既是研究遊戲保護,那麼總要有一個研究對象。本文就以TMD_TP這款遊戲保護爲例進行分析講解。請勿對號入座,如有雷同之處。純屬反彙編引擎之錯誤,不關我的事!
轉載請註明出處
關鍵字:DNF 驅動保護
鑑於最近很多同學找上門來求解這那問題,反正這東西又不是絕密檔案,放在我手裏大半個月了,還不如放出來讓大家一起進步算了。另外都是取之看雪還之看雪罷了。
索性我也就公佈一個全套的方案。絕無其他意思,所以還請同道中人嘴下留情。切勿背地使壞!
在正式開篇之前我要感謝看雪ID:十年寒窗 在我最困惑的時候,他給予了最大的幫助!另外還有一位和我同歲的神祕人物也給予了不小的幫助,感謝你們。
廢話了半天,正式開始吧。
tmd_TP也就是國內比較流行的遊戲D_N*F的遊戲保護。
它在ring0層一共HOOK了幾個地方和一些其他的工作。來達到保護的目的
下面是簡報:
使用了KdDisableDebugger來禁用雙機調試
.text:010025F0 jz short loc_1002622
.text:010025F2 call sub_10022A4
.text:010025F7 call ds:KdDisableDebugger
.text:010025FD push offset byte_10022EC
.text:01002602 push esi
.text:01002603 push offset byte_10022DC
.text:01002608 push edi
.text:01002609 push dword_100CF24
並對debugport進行了瘋狂的清零操作
甚至還包括EPROCESS+70/+74/+78等幾處位置
處理的手段通常都是向64端口寫入FE導致計算機被重啓
.text:01001665 mov al, 0FEh .text:01001667 out 64h, al ; AT Keyboard controller 8042. .text:01001667 ; Resend the last transmission .text:01001669 popa .text:0100166A retn
下面簡單看下他關鍵的幾個HOOK:
KiAttachProcess
NtReadVirtualMemory
NtWriteVirtualMemory
NtOpenThread
NtOpenProcess
根據上面的分析,下面給出相應的解決方案
1.直接恢復 第1、2、3處HOOK
2.繞過4、5處HOOK
3.將debugport清零的內核線程幹掉
4.恢復硬件斷點
但是要有一個先後的邏輯順序
因爲內核有一個線程負責監視幾個地方,必須要先幹掉它。
但是這個內容我寫在了處理debugport清零的一起,也就是第3步。所以大家在照搬源碼的時候
注意代碼執行次序
先從簡單的工作講起,恢復1、2、3處的HOOK
KiAttachProcess的處理
////////////////////////////////////////////////////////////////////// // 名稱: Nakd_KiAttachProcess // 功能: My_RecoveryHook_KiAttachProcess的中繼函數 // 參數: // 返回: ////////////////////////////////////////////////////////////////////// static NAKED VOID Nakd_KiAttachProcess() { __asm { mov edi,edi push ebp mov ebp,esp push ebx push esi mov eax,KiAttachProcessAddress //注意這個是全局變量 BYTE* add eax,7 jmp eax } } ////////////////////////////////////////////////////////////////////// // 名稱: RecoveryHook_KiAttachProcess // 功能: 解除遊戲保護對_KiAttachProcess函數的HOOK(DNF) // 參數: // 返回: 狀態 ////////////////////////////////////////////////////////////////////// NTSTATUS My_RecoveryHook_KiAttachProcess() { BYTE *KeAttachProcessAddress = NULL; //KeAttachProcess函數地址 BYTE *p; BYTE MovEaxAddress[5] = {0xB8,0,0,0,0}; // BYTE JmpEax[2] = {0xff,0xe0}; KIRQL Irql; //特徵碼 BYTE Signature1 = 0x56, //p-1 Signature2 = 0x57, //p-2 Signature3 = 0x5F, //p-3 Signature4 = 0x5E, //p+5 Signature5 = 0xE8; //p第一個字節 //獲得KeAttachProcess地址,然後通過特徵碼找到 //KiAttachProcess的地址 KeAttachProcessAddress = (BYTE*)MyGetFunAddress(L"KeAttachProcess"); if (KeAttachProcessAddress == NULL) { KdPrint(("KeAttachProcess地址獲取失敗/n")); return FAILED_TO_OBTAIN_FUNCTION_ADDRESSES; } //將p指向KeAttachProcess函數開始處 p = KeAttachProcessAddress; while (1) { if ((*(p-1) == Signature1) && (*(p-2) == Signature2) && (*(p+5) == Signature3) && (*(p+6) == Signature4) && (*p == Signature5)) { //定位成功後取地址 KiAttachProcessAddress = *(PULONG)(p+1)+(ULONG)(p+5); break; } //推動指針 p++; } //計算中繼函數地址 *(ULONG *)(MovEaxAddress+1)=(ULONG)Nakd_KiAttachProcess; WPOFF(); //清除CR0 //提升IRQL中斷級 Irql=KeRaiseIrqlToDpcLevel(); //寫入 RtlCopyMemory(KiAttachProcessAddress,MovEaxAddress,5); RtlCopyMemory(KiAttachProcessAddress+5,JmpEax,2); //恢復Irql KeLowerIrql(Irql); WPON(); //恢復CR0 return STATUS_SUCCESS; }
NtReadVirtualMemory和
NtWriteVirtualMemory的處理
注意這裏,我對他們倆開頭的第2句PUSH的處理
我直接寫入了push 0x78563412
大家可以根據自己的地址來硬編碼一次。
或者乾脆這樣使用
////////////////////////////////////////////////////////////////////// // 名稱: My_RecoveryHook_NtReadAndWriteMemory // 功能: 解除遊戲保護對NtReadVirtualMemory和 // NtWriteVirtualMemory的HOOK // 參數: // 返回: ////////////////////////////////////////////////////////////////////// NTSTATUS My_RecoveryHook_NtReadAndWriteMemory() { BYTE Push1Ch[2] = {0x6a,0x1c}; //0~2字節 BYTE PushAdd[5] = {0x68,0x12,0x34,0x56,0x78}; //NtReadVirtualMemory[物理機] //BYTE PushAdd2[5] = {0x68,0xf0,0x6f,0x4f,0x80}; //NtWriteVirtualMemory[物理機] KIRQL Irql; BYTE *NtReadVirtualMemoryAddress = NULL; //NtReadVirtualMemory的地址 BYTE *NtWriteVirtualMemoryAddress = NULL; //NtWriteVirtualMemory的地址 //從SSDT表中獲取NtReadVirtualMemory函數地址 NtReadVirtualMemoryAddress = (BYTE*)myGetCurrentAddress(0xBA); if (NtReadVirtualMemoryAddress == NULL) { KdPrint(("NtReadVirtualMemory函數地址獲取失敗! /n")); return FAILED_TO_OBTAIN_FUNCTION_ADDRESSES; } //從SSDT表中獲取NtWriteVirtualMemory函數地址 NtWriteVirtualMemoryAddress = (BYTE*)myGetCurrentAddress(0x115); if (NtWriteVirtualMemoryAddress == NULL) { KdPrint(("NtWriteVirtualMemory函數地址獲取失敗! /n")); return FAILED_TO_OBTAIN_FUNCTION_ADDRESSES; } WPOFF(); //清除CR0 //提升IRQL中斷級 Irql=KeRaiseIrqlToDpcLevel(); //寫入 RtlCopyMemory(NtReadVirtualMemoryAddress,Push1Ch,2); RtlCopyMemory(NtReadVirtualMemoryAddress+2,PushAdd,5); RtlCopyMemory(NtWriteVirtualMemoryAddress,Push1Ch,2); RtlCopyMemory(NtWriteVirtualMemoryAddress+2,PushAdd,5); //恢復Irql KeLowerIrql(Irql); WPON(); //恢復CR0 return STATUS_SUCCESS; }
好了,下面來處理
NtOpenProcess和
NtOpenThread
這兩個函數的處理上不能太魯莽了。
手法要風騷一點細膩一點了
介於篇幅的原因,我只貼出來前者的處理方法,後者雷同
細微之處大家自行修改。我總不能真的給你方法又給你工具。眼看着自己變成教唆犯
//NtOpenProcess用到的全局變量[爲了方便堆棧平衡的處理使用全局變量] PEPROCESS processEPROCESS = NULL; //保存訪問者的EPROCESS ANSI_STRING p_str1,p_str2; //保存進程名稱 BYTE *ObOpenObjectByPointerAddress = NULL; //ObOpenObjectByPointer的地址 BYTE *p_TpHookAddress = NULL; //TP的HOOK函數地址 BYTE *p_ReturnAddress = NULL; //返回到的地址 BYTE *p_MyHookAddress = NULL; //我們的HOOK函數在哪寫入 #define DNF_EXE "DNF.exe" //要檢索的進程名 ////////////////////////////////////////////////////////////////////// // 名稱: Nakd_NtOpenProcess // 功能: My_RecoveryHook_NtOpenProcess的中繼函數 // 參數: // 返回: ////////////////////////////////////////////////////////////////////// static NAKED VOID Nakd_NtOpenProcess() { //獲得調用者的EPROCESS processEPROCESS = IoGetCurrentProcess(); //將調用者的進程名保存到str1中 RtlInitAnsiString(&p_str1,(ULONG)processEPROCESS+0x174); //將我們要比對的進程名放入str2 RtlInitAnsiString(&p_str2,DNF_EXE); if (RtlCompareString(&p_str1,&p_str2,TRUE) == 0) { //說明是DNF進程訪問了這裏 __asm { push dword ptr [ebp-38h] push dword ptr [ebp-24h] push p_ReturnAddress mov eax,p_TpHookAddress jmp eax } } else { __asm { push dword ptr [ebp-38h] push dword ptr [ebp-24h] push p_ReturnAddress mov eax,ObOpenObjectByPointerAddress jmp eax } } } ////////////////////////////////////////////////////////////////////// // 名稱: My_RecoveryHook_NtOpenProcess // 功能: 解除遊戲保護對NtOpenProcess的HOOK // 參數: // 返回: 狀態 ////////////////////////////////////////////////////////////////////// NTSTATUS My_RecoveryHook_NtOpenProcess() { BYTE *NtOpenProcessAddress = NULL; //NtOpenProcess的地址 BYTE *p = NULL; //臨時 TOP5CODE *top5code = NULL; //保存5字節內容 BYTE JmpAddress[6] = {0xE9,0,0,0,0,0x90}; KIRQL Irql; //獲取NtOpenProcess的地址 NtOpenProcessAddress = (BYTE*)MyGetFunAddress(L"NtOpenProcess"); if (NtOpenProcessAddress == NULL) { KdPrint(("NtOpenProcess地址獲取失敗/n")); return FAILED_TO_OBTAIN_FUNCTION_ADDRESSES; } //獲取ObOpenObjectByPointer的地址 ObOpenObjectByPointerAddress = (BYTE*)MyGetFunAddress(L"ObOpenObjectByPointer"); if (ObOpenObjectByPointerAddress == NULL) { KdPrint(("ObOpenObjectByPointer地址獲取失敗/n")); return FAILED_TO_OBTAIN_FUNCTION_ADDRESSES; } //將p指向NtOpenProcess函數開始處 p = NtOpenProcessAddress; //用一個無限循環來判斷給定的特徵碼來確定被HOOK位置 while (1) { if ((*(p-7) == 0x50) && (*(p-0xE) == 0x56) && (*(p+0xd) == 0x50) && (*(p+0x16) == 0x3b) && (*(p+0x17) == 0xce) && (*p == 0xE8) && (*(p+5) == 0x8b) && (*(p+6) == 0xf8)) { KdPrint(("%0X /n",(ULONG)p)); break; } //推動指針向前走 p++; } //將top5code指向 p 的當前處 //用以取出 call [地址] 這5字節裏面的地址 top5code = (TOP5CODE*)p; p_TpHookAddress = (BYTE*)((ULONG)p+5+top5code->address); //找到我們寫入自定義函數的地址 p_MyHookAddress = p-6; //保存調用ObOpenObjectByPointer函數以後的返回地址 p_ReturnAddress = p+5; //將一條JMP Nakd_NtOpenProcess寫入到數組中 *(ULONG *)(JmpAddress+1)=(ULONG)Nakd_NtOpenProcess - ((ULONG)p_MyHookAddress+5); WPOFF(); //清除CR0 //提升IRQL中斷級 Irql=KeRaiseIrqlToDpcLevel(); //寫入 RtlCopyMemory(p_MyHookAddress,JmpAddress,6); //恢復Irql KeLowerIrql(Irql); WPON(); //恢復CR0 return STATUS_SUCCESS; }
處理之後:
簡而言之其原理就是,任何人調用了NtOpenProcess的時候會先進入
Nakd_NtOpenProcess函數,我們判斷。如果是遊戲進程訪問的話,就有可能是驗證之類的
我們轉到它自己的函數裏面。讓它保持與ring3層的通信。否則的話,嘿嘿……
接下來是第3步處理debugport清零的這塊了。
我想絕大多數人關心的都是這裏了
網絡上能搜多到的辦法幾乎都失效了
有辦法的人又不肯放出來,急眼了就自己想了個土辦法
雖然不那麼時尚。但是絕對的奏效。
由於代碼凌亂不堪,簡單說下其原理。
我們定位內核模塊TxxxSxxx.sys的首地址
然後根據特徵碼遍歷整個模塊找到我們需要的地方,然後幹掉他們。
那麼我們又如何能夠通過人工的判斷出來到底是哪裏在作怪呢
利用syser或Start SoftICE對EPROCESS+BC處設置斷點。就可以一層一層的追溯上去了
到底如何用他們,我想大家自己多花點時間在看雪和GOOGLE或者BAIDU上面是不會吃虧的。
由於ZwQuerySystemInformation函數的使用非常繁瑣。而且篇幅有限。所以我只給出關鍵代碼,至於這個函數如何使用。大家可以自己在搜索引擎找“枚舉內核模塊”
////////////////////////////////////////////////////////////////////// // 名稱: MyEnumKernelModule // 功能: 枚舉內核模塊 // 參數: str:內核模塊名稱 // moduleadd:該模塊地址[傳出] // modulesie:該模塊大小[傳出] // 返回: ////////////////////////////////////////////////////////////////////// NTSTATUS MyEnumKernelModule(IN CHAR* str,OUT ULONG *moduleadd,OUT ULONG *modulesie) { NTSTATUS status = STATUS_SUCCESS; ULONG n = 0; ULONG i = 0; PSYSTEM_MODULE_INFORMATION_ENTRY module = NULL; PVOID pbuftmp = NULL; ANSI_STRING ModuleName1,ModuleName2; BOOLEAN tlgstst= FALSE; //如果找到了指定模塊則設置爲TRUE //利用11號功能枚舉內核模塊 status = ZwQuerySystemInformation(11, &n, 0, &n); //申請內存 pbuftmp = ExAllocatePool(NonPagedPool, n); //再次執行,將枚舉結果放到指定的內存區域 status = ZwQuerySystemInformation(11, pbuftmp, n, NULL); module = (PSYSTEM_MODULE_INFORMATION_ENTRY)((PULONG )pbuftmp + 1 ); //初始化字符串 RtlInitAnsiString(&ModuleName1,str); // n = *((PULONG)pbuftmp ); for ( i = 0; i < n; i++ ) { RtlInitAnsiString(&ModuleName2,&module[i].ImageName); //DbgPrint("%d/t0x%08X 0x%08X %s/n",module[i].LoadOrderIndex,module[i].Base,module[i].Size,module[i].ImageName); if (RtlCompareString(&ModuleName1,&ModuleName2,TRUE) == 0) { DbgPrint("MyEnumKernelModule:%s:%0X /n",ModuleName2.Buffer,module[i].Base); *moduleadd = module[i].Base; *modulesie = module[i].Size; tlgstst = TRUE; break; } } ExFreePool(pbuftmp); if tlgstst == FALSE) { return FAILED_TO_OBTAIN_FUNCTION_ADDRESSES; } return status; } ////////////////////////////////////////////////////////////////////// // 名稱: My_Recovery_Debugport // 功能: 恢復遊戲對debugport的清零操作 // 參數: // 返回: ////////////////////////////////////////////////////////////////////// NTSTATUS My_Recovery_Debugport() { NTSTATUS stats; BYTE *sd1 = NULL,*sd2 = NULL,*pd = NULL; ULONG ModuleSize,ModuleAddress,i,number = 0; BYTE *p; KIRQL Irql; BYTE C390[2] = {0xc3,0x90}; //獲取指定的內核模塊地址和字節數 stats = MyEnumKernelModule("//??//c://windows//system32//tessafe.sys",&ModuleAddress,&ModuleSize); if (stats == FAILED_TO_OBTAIN_FUNCTION_ADDRESSES) { return FAILED_TO_OBTAIN_FUNCTION_ADDRESSES; } KdPrint(("Address:%0X Sie:%d /n",ModuleAddress,ModuleSize)); //特徵碼 /* sd1特徵 p-1:18 p-2:87 p-3:DB p-4:33 p-5:07 p-6:03 p :33 p+1:C0 p+7:3B p+8:D8 sd2特徵 p-1:07 p-2:87 p-3:c0 p-4:33 p+14:89 p+15:1c p+16:38 */ //將P指向內核模塊開始處 p = (BYTE*)ModuleAddress + 20; for (i = 0; i < ModuleSize - 20; i++,p++) { //sd1 if ((*(p-1) == 0x18) && (*(p-2) == 0x87) && (*(p-3) == 0xDB) && (*(p-4) == 0x33) && (*(p-5) == 0x07) && (*(p-6) == 0x03) && (*p == 0x33) && (*(p+1) == 0xC0) && (*(p+7) == 0x3B) && (*(p+8) == 0xD8) ) { KdPrint(("--SD1 -- %0X /n",(ULONG)p)); sd1 = p; number+=1; //記錄已經獲取一個特徵 } //sd2 if ((*(p-1) == 0x07) && (*(p-2) == 0x87) && (*(p-3) == 0xC0) && (*(p-4) == 0x33) && (*(p+14)== 0x89) && (*(p+15)== 0x1C) && (*(p+16)== 0x38) && (*p == 0xA1)) { KdPrint(("--SD2 -- %0X /n",(ULONG)p)); sd2 = p; number+=1; //記錄已經獲取一個特徵 } //pd if ((*(p-2) == 0xE3) && (*(p-3) == 0xC1) && (*(p-7) == 0xF3) && (*(p-8) == 0x33) && (*(p-10)== 0xEB) && (*(p-11)== 0xC1) && (*(p+1) == 0xF3) && (*(p+2) == 0x42) && (*(p+3) == 0x3B) && (*(p+4) == 0xD1) && (*p == 0x33)) { KdPrint(("--PD -- %0X /n",(ULONG)p)); pd = p; number+=1; //記錄已經獲取一個特徵 } if (number >= 3) { KdPrint(("特徵 %d ---退出/n",number)); break; } } //首先幹掉監視函數 while (1) { if ((*(pd-1) == 0xcc) && (*(pd-2) == 0xcc)) { KdPrint(("pd首地址:%0X /n",(ULONG)pd)); WPOFF(); //清除CR0 //提升IRQL中斷級 Irql=KeRaiseIrqlToDpcLevel(); //寫入 RtlCopyMemory(pd,C390,2); //恢復Irql KeLowerIrql(Irql); WPON(); //恢復CR0 break; } pd--; } //幹掉2個SD while (1) { if ((*(sd1-1) == 0xcc) && (*(sd1-2) == 0xcc)) { KdPrint(("sd1首地址:%0X /n",(ULONG)sd1)); WPOFF(); //清除CR0 //提升IRQL中斷級 Irql=KeRaiseIrqlToDpcLevel(); //寫入 RtlCopyMemory(sd1,C390,2); //恢復Irql KeLowerIrql(Irql); WPON(); //恢復CR0 break; } sd1--; } while (1) { if ((*(sd2-1) == 0xcc) && (*(sd2-2) == 0xcc)) { KdPrint(("sd2首地址:%0X /n",(ULONG)sd2)); WPOFF(); //清除CR0 //提升IRQL中斷級 Irql=KeRaiseIrqlToDpcLevel(); //寫入 RtlCopyMemory(sd2,C390,2); //恢復Irql KeLowerIrql(Irql); WPON(); //恢復CR0 break; } sd2--; } return STATUS_SUCCESS; }
最後,處理一下硬件斷點就可以了
這裏我們使用到了SSDT HOOK
分別HOOK了 SSDT 表中索引爲 0xD5和0x55的函數。由於這裏比較簡單
我想10個人有9個人懂得SSDT HOOK的。所以直接給出源碼,不做原理分析了
//處理硬件斷點時 ULONG uNtSetContextThreadAddress; ULONG uNtGetContextThreadAddress; ULONG TenNtSetContextThread, TenNtGetContextThread; ////////////////////////////////////////////////////////////////////// // 名稱: _MyNtGetThreadContext // 功能: 兩個SSDT HOOK僞造函數的中繼函數 // 參數: // 返回: ////////////////////////////////////////////////////////////////////// static NAKED NTSTATUS Nakd_NtGetThreadContext(HANDLE hThread, PCONTEXT pContext) { __asm { jmp dword ptr[TenNtGetContextThread] } } static NAKED NTSTATUS Nakd_NtSetThreadContext(HANDLE hThread, PCONTEXT pContext) { __asm { jmp dword ptr[TenNtSetContextThread] } } ////////////////////////////////////////////////////////////////////// // 名稱: MyNtGetThreadContext && MyNtSetThreadContext // 功能: NtGetThreadContext與NtSetThreadContext函數被SSDT HOOK的僞造函數 // 參數: // 返回: ////////////////////////////////////////////////////////////////////// NTSTATUS MyNtGetThreadContext(HANDLE hThread, PCONTEXT pContext) { if ( _stricmp((const char*)PsGetProcessImageFileName(PsGetCurrentProcess()),DNF_EXE) ) { return Nakd_NtGetThreadContext(hThread, pContext); } return STATUS_UNSUCCESSFUL; } NTSTATUS MyNtSetThreadContext(HANDLE hThread, PCONTEXT pContext) { if ( _stricmp((const char*)PsGetProcessImageFileName(PsGetCurrentProcess()),DNF_EXE) ) { return Nakd_NtSetThreadContext(hThread, pContext); } //DbgPrint("Dr7:%08X/n", pContext->Dr7); if ( pContext->Dr7 == 0x101 ) { return Nakd_NtSetThreadContext(hThread, pContext); } return STATUS_UNSUCCESSFUL; } ////////////////////////////////////////////////////////////////////// // 名稱: My_Recovery_HardwareBreakpoint // 功能: 通過對set與get進行SSDT HOOK來恢復硬件斷點 // 參數: // 返回: ////////////////////////////////////////////////////////////////////// NTSTATUS My_Recovery_HardwareBreakpoint() { KIRQL Irql; //獲取地址 uNtSetContextThreadAddress = (ULONG)KeServiceDescriptorTable->ServiceTableBase+0xD5 * 4; uNtGetContextThreadAddress = (ULONG)KeServiceDescriptorTable->ServiceTableBase+0x55 * 4; TenNtSetContextThread = *(ULONG*)uNtSetContextThreadAddress; TenNtGetContextThread = *(ULONG*)uNtGetContextThreadAddress; KdPrint(("Set地址:%0X/n",TenNtSetContextThread)); KdPrint(("Get地址:%0X/n",TenNtGetContextThread)); KdPrint(("Process:%0X /n",(ULONG)p_MyHookAddress)); KdPrint(("Thread:%0X /n",(ULONG)t_MyHookAddress)); WPOFF(); //清除CR0 //提升IRQL中斷級 Irql=KeRaiseIrqlToDpcLevel(); //完成SSDT HOOK *(ULONG*)uNtGetContextThreadAddress = (ULONG)MyNtGetThreadContext; *(ULONG*)uNtSetContextThreadAddress = (ULONG)MyNtSetThreadContext; //恢復Irql KeLowerIrql(Irql); WPON(); //恢復CR0 return STATUS_UNSUCCESSFUL; }
另外還有一些功能型的函數一併給出,省的大家迷糊
我也算服務到位了,再看上面代碼迷糊的時候。看這裏找找
看看有沒有能用到的,或者翻一下我以往的帖子。裏面應該有
//保存5字節代碼的結構 #pragma pack(1) typedef struct _TOP5CODE { UCHAR instruction; //指令 ULONG address; //地址 }TOP5CODE,*PTOP5CODE; #pragma pack( ) //ssdt表結構 typedef struct _ServiceDescriptorTable { PVOID ServiceTableBase; //System Service Dispatch Table 的基地址 PVOID ServiceCounterTable; //包含着 SSDT 中每個服務被調用次數的計數器。這個計數器一般由sysenter 更新。 unsigned int NumberOfServices;//由 ServiceTableBase 描述的服務的數目。 PVOID ParamTableBase; //包含每個系統服務參數字節數表的基地址-系統服務參數表 }*PServiceDescriptorTable; //由SSDT索引號獲取當前函數地址 //NtOpenProcess [[KeServiceDescriptorTable]+0x7A*4] extern PServiceDescriptorTable KeServiceDescriptorTable; ////////////////////////////////////////////////////////////////////// // 名稱: MyGetFunAddress // 功能: 獲取函數地址 // 參數: 函數名稱字符串指針 // 返回: 函數地址 ////////////////////////////////////////////////////////////////////// ULONG MyGetFunAddress( IN PCWSTR FunctionName) { UNICODE_STRING UniCodeFunctionName; RtlInitUnicodeString( &UniCodeFunctionName, FunctionName ); return (ULONG)MmGetSystemRoutineAddress( &UniCodeFunctionName ); } ////////////////////////////////////////////////////////////////////// // 名稱: myGetCurrentAddress // 功能: 獲取SSDT表中指定函數的當前地址 // 參數: index:指定函數在表中的索引號 // 返回: 地址 ////////////////////////////////////////////////////////////////////// ULONG myGetCurrentAddress(IN ULONG index) { ULONG SSDT_Cur_Addr; __asm { push ebx push eax mov ebx,KeServiceDescriptorTable mov ebx,[ebx] mov eax,index shl eax,2 add ebx,eax mov ebx,[ebx] mov SSDT_Cur_Addr,ebx pop eax pop ebx } return SSDT_Cur_Addr; } VOID WPOFF() { __asm { cli mov eax,cr0 and eax,not 10000h mov cr0,eax } } VOID WPON() { __asm { mov eax,cr0 or eax,10000h mov cr0,eax sti } }
記在最後面的話:大家要善用搜索引擎(建議學習google hacking技巧),勤做筆記,最後要說的依然是感謝,感謝GOOGLE/BAIDU/PEDIY/DEBUGMAN。還有那些默默發帖的人~