过驱动保护之TesSafe(读写内存OD能附加下硬件断点).doc

《过驱动保护之TesSafe(读写内存OD能附加下硬件断点).doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、个人收集整理勿做商业用途过驱动保护之　TeｓSａfe.sys对抗（过了后能读写内存OD能附加下硬件断点)学习各种外挂制作技术，马上去百度搜索"魔鬼作坊＂点击第一个站进入、快速成为做挂达人。由于我的Ｃ用的比较少,所以大部分都用的汇编，部分地方用汇编写不是很方便,所以我用的C，由于只是学习，所以内核地址我没有计算都是硬编码的。过ＤNF主要分为三步,也许我的思路不太正确，反正可以OD调试，下断。程序没怎么修边幅,因为只是测试，所以一般都没有写更改内核后的恢复,不过不妨碍使用。附加不了就是KiAttachPｒｏc

2、ess　没恢复。附加之后什么都没有就是ｄeｂuｇｐoｒt被清零。第一步，这也是最起码的，你必须要能够打开游戏进程和线程，能够开打进程和线程后不被检测到第二步，能够读写进村内存第三步，能够用OD附加游戏进程　第四步,能够下硬件断点而不被检测在NtReadVirtuaｌMemory，NtWriteＶiｒtｕalMｅmory函数头处有如下ＨOOK　ｍoｖｅａx,TesSafｅprｏc_Addr　jmp　eax上述2条指令　占8字节跳过NtＲｅａｄVｉrｔｕalＭemoｒy,NtWriteVirtualMeｍor

3、y函数头的钩子代码:#iｎclｕde<ｎtddｋ.h>typeｄeｆ　struct　_SＥＲＶICE＿DＥSＣＲIPTOR_ＴABＬE{PVOIＤSerｖiceTaｂlｅＢase;PULＯNGＳｅrviｃeCｏunterＴａbleBasｅ；UＬOＮGNuｍbｅrOfServicｅ;　ULONＧ　ParaｍＴaｂｌｅBaｓｅ;　}ＳERＶICE＿DEＳCRIPTOR_TABLE,*PSEＲVＩＣE_ＤＥSCRIPＴＯR_TＡBLE;ﻫ//由于KeＳervｉceDeｓcriptoｒTabｌe只有一项，这里就简

4、单点了Exteｒn　PSEＲVICE_DESＣRIPTOR＿TABLE　　　ＫeＳerviceＤesｃriptoｒTablｅ;/／KeServiceDesｃriptorTable为导出函数//////／／////////／////／//////／／/／/／///ＶOＩＤ　Ｈｏok(）；ＶOIDUnhooｋ（);　ＶOＩD　OnUnload(INPDRIVEＲ_OBＪEＣT　DrｉverObjｅct)；　个人收集整理勿做商业用途/／////／/／///／///////／//／/／／/／/／////／／/UL

5、ONGJmpAdｄｒeｓs;/／跳转到ＮtOpenＰrocess里的地址ULONＧJmpＡddｒess１;/／跳转到NtOｐenProcｅss里的地址ULONＧＯldSeｒｖiceAddｒｅss;//原来NｔOpeｎＰroｃess的服务地址　ULONGOｌdSｅrviceAddress1;／/原来NtＯpeｎProcesｓ的服务地址//／／///／//／/／／／//／////////／///／///////＿_decｌspec(naｋｅd)　NTＳTＡＴUS__stdcall　MyNtReadVirtｕa

6、lMeｍory(HＡNDLEProcesｓHａｎｄｌe,　　　　　PＶＯIDBaseＡdｄresｓ,　　　　ＰＶOID　Ｂufｆer,　　ＵLＯNＧ　ＮumbeｒOfByｔesＴoRead，　　　　ＰULONGNumberOｆByｔesＲeａｄｅd){//跳过去__asｍ{　puｓh　　０x1cpush　　80４eｂ５60ｈ//共十个字节　　　ｊmp　［ＪmpAddress]　　}　}　_＿deｃlspeｃ(naked）　NTＳTATＵS__sｔdcalｌMｙNtWriｔeＶiｒtualMｅmory(ＨA

7、NDＬEProcessHandｌｅ,　PVOIDBaｓeＡddｒeｓｓ，　　　　　　PＶＯIＤ　Buffer,　　　　　ULＯＮGNumｂerＯfBytesTｏＷriｔe，　　PULOＮＧ　NumbeｒＯfＢｙtｅsRｅadｅd）{／／跳过去＿_aｓｍ{　　　pｕｓh0x1cpush　８04eb560h//共十个字节　jmp[ＪmpＡｄｄress1]｝}////////／／//／////／/／／////／////／//／///////////////／/NＴSTAＴUＳ　ＤｒiverEntry(IN　PD

8、RIVER_ＯＢJＥCTDriveｒOｂject,PUNＩCＯＤＥ_STRINＧReｇｉsｔrｙＰath）{DrｉveｒＯbjｅct-＞ＤriverUｎｌoad　=OnＵnｌoad；ＤbgPrint（"Unhｏokeｒ　loaｄ"）；Hook()；　reｔuｒnＳTATＵS_ＳUCCEＳＳ；个人收集整理勿做商业用途}　//／//////／///／////／/／/／／/／///／／／/////////／///／/／//／／／　Ｖ