前言：
最近在學(xué)外掛編程，基本都是利用CE，OD調(diào)試分析游戲數(shù)據(jù)，但現(xiàn)在游戲公司用各種保護(hù)手段防止我們調(diào)試游戲，雖然我們有CE,OD這樣的利器但是仍然被游戲驅(qū)動保護(hù)擋在門外i，真可謂巧婦也難為無米之炊啊。
?不得已只好暫停學(xué)習(xí)各種找CALL技術(shù)，先了解下游戲驅(qū)動保護(hù)的門門道道。經(jīng)過幾天的學(xué)習(xí)，有所收獲，特記錄下來，以備日后查詢。本貼為純工具過掉保護(hù)，下面將用工具+自寫驅(qū)動過掉它，算是最近學(xué)習(xí)驅(qū)動編程的一次實(shí)踐吧，
希望本文對?跟同我一樣剛?cè)腴T的菜鳥有所幫助，歡迎菜鳥一起交流，與君共勉！?
這次用的游戲是日服目前仍然比較火爆的《巫術(shù)online》?記得沒學(xué)驅(qū)動保護(hù)之前也分析過這個游戲，但被這個游戲保護(hù)搞的藍(lán)屏N次，懷恨在心，這次就拿它開刀，廢話不說啦，進(jìn)入正題：
使用工具：Kernel_Detective_1.4.1?，XueTr_0.45，?郁金香OD2010，VE修改器漢化版（核心也是CE，原版CE掛上進(jìn)游戲就出錯）
打開游戲后，用OD附加，提示錯誤。

用XueTr看看這個游戲都動了什么手腳吧，讓我們的利器都用不上，哼哼。

這個GPP.dll就是游戲的驅(qū)動保護(hù)文件，萬惡啊。。。不過我們不能直接卸載，否則就是藍(lán)屏或者游戲退出。。

看看內(nèi)核：

有2個系統(tǒng)回調(diào)，在未知模塊，很可疑，干掉它。
其他里沒有什么異常了，看看內(nèi)核鉤子：

果然有hook。。。?ssdt里4個hook，經(jīng)測試NtAllocateVirtualMemory就是阻止我們OD附加的罪魁禍?zhǔn)?。右鍵恢復(fù)一下看看，恢復(fù)掉后，OD?可以附加，但游戲直接就掉了。將NtReradVirtualMemory?NtWriteVirtualMemory恢復(fù)后，游戲也跟著掉了，而且再上就上不去了，只能重啟在上。現(xiàn)在這驅(qū)動還溫和了很多，記得以前版本?一恢復(fù)直接就藍(lán)屏了。。。
看看ShadowSSDT

看來直接恢復(fù)是不行的，想想別的辦法吧。

具體看一下它是怎么HOOK的吧，在Kernel_Detective的SSDT里找到
NtWriteVirtualMemory，右鍵反匯編當(dāng)前地址

看到以下代碼：
jmp?895B6FB0
dec?ebp
sub?al,?8
js?short?805B53CF
jmp?dword?ptr?[ecx+24]
add?dword?ptr?[eax],?eax
add?byte?ptr?[ebx+40878AF8],?cl
add?dword?ptr?[eax],?eax
add?byte?ptr?[eax+758BE045],?cl
adc?al,?84
Invalid?Command

退掉游戲，看看沒有HOOK過的代碼是怎么樣的

push?1C
push?804DAF08
call?8053CBE0
mov?eax,?dword?ptr?fs:[124]
mov?edi,?eax

可以看出?jmp?895B6FB0?這里就跳轉(zhuǎn)到游戲的驅(qū)動保護(hù)里執(zhí)行了。但是簡單的jmp?0x805B53CC?是不行的，直接就藍(lán)屏了，

在用Kernel_Detective看看別的。

?

?

找到可疑的東東，有4個線程在未知模塊運(yùn)行，估計(jì)他們就是驅(qū)動的監(jiān)測線程，右鍵?暫停它們。?

在KD的SSDT里直看到NtQuerySystemInformation這個SSDT?HOOK??那些重要的inline?hook都看不到，而線程中這些可疑線程，xt也看不到

看來不管怎么的，有什么工具全給它招呼上還是對滴。

現(xiàn)在用xt恢復(fù)ssdt和shadow?ssdt試試看會發(fā)生什么吧。

游戲沒有掉，恢復(fù)的HOOK，也沒有再被HOOK，用OD附近試試看。
?果然可以附加啦！！經(jīng)測試?VE查找數(shù)據(jù)，OD下斷均沒問題，可以繼續(xù)我們找CALL事業(yè)了?HOHO。

?

?

注：OD要將StrongOD插件選項(xiàng)里的?Anti?Anti_Attach?勾選上，否則掛上游戲仍然退出

?

?

用XT可以看到NTReadVirtualMemory??NTWRiteVirtualMemory??NTAllocateVirtualMemory?被inline?hook了，以下為函數(shù)源代碼。也就是需要恢復(fù)的代碼。
NTReadVirtualMemory??0x805B52C2
push?1C
push?804DAEF0
call?8053CBE0
mov?eax,?dword?ptr?fs:[124]
mov?edi,?eax
mov?al,?byte?ptr?[edi+140]
mov?byte?ptr?[ebp-20],?al
mov?esi,?dword?ptr?[ebp+14]
test?al,?al
je?short?805B534C?應(yīng)跳轉(zhuǎn)至0X805B52E4繼續(xù)執(zhí)行?HOOK?32字節(jié)NTReadVirtualMemory?+0x22
--------------------
NTReadVirtualMemory??HOOK后
jmp?88E52C20
dec?ebp
sub?al,?12
jns?short?805B52C5
jmp?dword?ptr?[ecx+24]
add?dword?ptr?[eax],?eax
add?byte?ptr?[ebx+40878AF8],?cl
add?dword?ptr?[eax],?eax
add?byte?ptr?[eax+758BE045],?cl
adc?al,?84
Invalid?Command
je?short?805B534C
-------------------------
NTWRiteVirtualMemory??0x805B53CC
push?1C
push?804DAF08
call?8053CBE0
mov?eax,?dword?ptr?fs:[124]
mov?edi,?eax
mov?al,?byte?ptr?[edi+140]
mov?byte?ptr?[ebp-20],?al
mov?esi,?dword?ptr?[ebp+14]
test?al,?al
je?short?80565456應(yīng)跳轉(zhuǎn)到0x805B53EE繼續(xù)執(zhí)行?NTWRiteVirtualMemory+0x22?
-------------------
NTWRiteVirtualMemory??HOOK后
jmp?88E52FB0
dec?ebp
sub?al,?8
js?short?805B53CF
jmp?dword?ptr?[ecx+24]
add?dword?ptr?[eax],?eax
add?byte?ptr?[ebx+40878AF8],?cl
add?dword?ptr?[eax],?eax
add?byte?ptr?[eax+758BE045],?cl
adc?al,?84
Invalid?Command
je?short?805B5456?
---------------------------------
NTAllocateVirtualMemory??0x805A9ABA
push?118
push?804DACB8?應(yīng)跳轉(zhuǎn)到0x805A9ABF?hook5字節(jié)?NTAllocateVirtualMemory?+5
----------------
NTAllocateVirtualMemory??HOOK?后
jmp?88E53070
push?804DACB8

?

?

?

?

?

首先感謝論壇的crazyearl?本文代碼根據(jù)他發(fā)表的過HS保護(hù)中的源碼?分析編寫注釋?十分感謝為我們新手提供那么好的文章！
本篇文章適用于菜鳥級新手查看，分析。
該代碼是我學(xué)習(xí)過程中一個實(shí)踐，關(guān)于寫驅(qū)動框架結(jié)構(gòu)，驅(qū)動層inline?hook，分析,繞過游戲驅(qū)動保護(hù)HOOK函數(shù)方法。
也是學(xué)習(xí)郁金香驅(qū)動保護(hù)部分課程的一個實(shí)踐。
希望給像我一樣零編程基礎(chǔ)學(xué)驅(qū)動的菜鳥們一些分享，幫助。?期待喜歡這方面的朋友交流?^_^??與君共勉！
前篇寫了通過KD?XT工具過日服巫術(shù)驅(qū)動保護(hù)?使OD?CE?正常加載教程，上篇寫了被驅(qū)動保護(hù)HOOK的函數(shù)具體分析，找到恢復(fù)位置，這篇寫下如何寫代碼恢復(fù)被HOOK的函數(shù)。
思路：?找到被HOOK函數(shù)的地址，然后HOOK它前5個字節(jié)，寫個jmp?自寫函數(shù)???讓它按照函數(shù)正常流程運(yùn)行，跳過游戲檢測call。
首先要做的仍然是用工具?掛起檢測線程，干掉系統(tǒng)回調(diào)。然后加載我們自己的驅(qū)動。
加載驅(qū)動軟件：DriverMonitor???????調(diào)試信息查看：DebugView?
??
注意！！（本驅(qū)動在xp?32位win7?32位ddk編譯通過。xp32位"系統(tǒng)下載吧GhostXP?SP3?2011裝機(jī)版V8.0"測試通過，因匯編部分有些硬編碼，不同系統(tǒng)可能會有所不同，請加載驅(qū)動前先用Kernel_Detective或xuetr查看相關(guān)代碼，適當(dāng)修改，否則藍(lán)屏是跑不了的啦?^_^）
驅(qū)動代碼中注釋掉一些關(guān)于進(jìn)程比較的代碼，思路是如果游戲訪問關(guān)鍵函數(shù)，讓它執(zhí)行自己的檢測代碼，其他執(zhí)行我們HOOK的代碼。
具體實(shí)現(xiàn)代碼以后在補(bǔ)充。
?
驅(qū)動代碼見下文：??
/********************************************************************
*?創(chuàng)建時間:??2012/03/16
*?文件名稱:??ByPass.c
*?文件作者:??月夜翔龍*?===================================================================
*?功能說明:??入口文件
*?-------------------------------------------------------------------
*?其他說明:??
*********************************************************************/
#include?<ntddk.h>
#include?"ddk_proc.h"
#include?"GetAddrs.h"
#define?INITCODE?code_seg("INIT")
#define?PAGECODE?code_seg("PAGE")
#pragma?INITCODE?
NTSTATUS?DriverEntry(PDRIVER_OBJECT?pDriverObject,PUNICODE_STRING?B)
{?
????hookWriteMemory();?//調(diào)用自寫hook函數(shù)，恢復(fù)系統(tǒng)原函數(shù)，跳過游戲檢測CALL
?HookReadVirtualMemory();
?HookAllocateVirtualMemory();
????//注冊派遣例程?
pDriverObject->MajorFunction[IRP_MJ_CREATE]=ddk_DispatchRoutine_CONTROL;?//IRP_MJ_CREATE相關(guān)IRP處理函數(shù)
pDriverObject->MajorFunction[IRP_MJ_CLOSE]=ddk_DispatchRoutine_CONTROL;?//IRP_MJ_CREATE相關(guān)IRP處理函數(shù)
pDriverObject->MajorFunction[IRP_MJ_READ]=ddk_DispatchRoutine_CONTROL;?//IRP_MJ_CREATE相關(guān)IRP處理函數(shù)
pDriverObject->MajorFunction[IRP_MJ_CLOSE]=ddk_DispatchRoutine_CONTROL;?//IRP_MJ_CREATE相關(guān)IRP處理函數(shù)
pDriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL]=ddk_DispatchRoutine_CONTROL;?//IRP_MJ_CREATE相關(guān)IRP處理函數(shù)
?CreatMyDevice(pDriverObject);?//創(chuàng)建驅(qū)動設(shè)備?
?pDriverObject->DriverUnload=ddk_unload;??//驅(qū)動卸載例程
????//return?(1);
?return?STATUS_SUCCESS;
}
#pragma?PAGECODE
NTSTATUS?ddk_DispatchRoutine_CONTROL(IN?PDEVICE_OBJECT?pDevobj,IN?PIRP?pIrp?)
{
?//對相應(yīng)的IPR進(jìn)行處理
?pIrp->IoStatus.Information=0;//設(shè)置操作的字節(jié)數(shù)為0，這里無實(shí)際意義
?pIrp->IoStatus.Status=STATUS_SUCCESS;//返回成功
?IoCompleteRequest(pIrp,IO_NO_INCREMENT);//指示完成此IRP
?KdPrint(("離開派遣函數(shù)\n"));//調(diào)試信息
?return?STATUS_SUCCESS;?//返回成功
}
void?ddk_unload(IN?PDRIVER_OBJECT?pDriverObject)
{
?UNICODE_STRING??symboName;
?PDEVICE_OBJECT?pdev;?//用來卸載設(shè)備
?uninstall();??//恢復(fù)HOOK
?RtlInitUnicodeString(&symboName,L"\\??\\ByPass_symlink");
????pdev=pDriverObject->DeviceObject;?
?IoDeleteSymbolicLink(&symboName);//刪除符號鏈接
?IoDeleteDevice(pdev);?//刪除設(shè)備對象
?KdPrint(("驅(qū)動卸載成功。。。。。。OK\n\n"));
}
---------------------------------------------------------------------------------------
/********************************************************************
*?創(chuàng)建時間:??2012/03/16
*?文件名稱:??ddk_proc.h?頭文件
*?文件作者:??月夜翔龍
*?===================================================================
*?功能說明:??變量定義，函數(shù)聲明部分
*?-------------------------------------------------------------------
*?其他說明:??
*********************************************************************/
#include?<windef.h>
#include?<ntddk.h>
/************************************************
***??????????????函數(shù)前置聲明部分??????????????******
************************************************/
NTSTATUS?ddk_DispatchRoutine_CONTROL(IN?PDEVICE_OBJECT?pDevobj,IN?PIRP?pIrp?);?//派遣函數(shù)
extern?long?KeServiceDescriptorTable?;?//導(dǎo)出SSDT表
void?ddk_unload?(IN?PDRIVER_OBJECT?pDriverObject);?//前置說明?卸載歷程
void?wpoff();?//關(guān)閉頁面保護(hù)?具體實(shí)現(xiàn)過程在下面
void?wpon();?//開啟頁面保護(hù)??具體實(shí)現(xiàn)過程在下面
NTKERNELAPI?UCHAR?*?PsGetProcessImageFileName(PEPROCESS?Process);
NTKERNELAPI?NTSTATUS?PsLookupProcessByProcessId(__in???HANDLE?ProcessId,__out??PEPROCESS?*Process);
/**************************************************
**********?????????全局變量???????*****************
**************************************************/
ULONG?WriteMemoryAddr,writeMemory_22,writeMemory_7;?//HOOK?writeMemory使用
ULONG?ReadMemoryAddr,readMemory_22;?//HOOK?readmemory?使用
ULONG?AllocateMemoryAddr,AllocateMemory_5;?//HOOK?AllocateMemory使用
#define?NAKED?__declspec(naked)??//定義裸體函數(shù)
//*******************************************************************
//PEPROCESS?WriteMemoryEPROCESS?=?NULL;??//進(jìn)程比較使用?該游戲不需要?
//?ULONG?WriteMemoryEPROCESS_174;??//
//ANSI_STRING?wm_str1,wm_str2;???//保存進(jìn)程名稱
//#define?APPNAME?"WizardryOnline"
/**********************************************************
***???????????????函數(shù)實(shí)現(xiàn)部分??????????????????????????***
**********************************************************/
//
//?名稱:?CreatMyDevice?
//?功能:?創(chuàng)建設(shè)備
//?參數(shù):?驅(qū)動對象?在入口函數(shù)傳遞
//?返回:?status?
//
NTSTATUS?CreatMyDevice(IN?PDRIVER_OBJECT?pDriverObject)
{
?NTSTATUS?status;
?PDEVICE_OBJECT?pDevObj;?//用來返回設(shè)備
?UNICODE_STRING?devName;?//設(shè)備名稱
?UNICODE_STRING?symlinkname;
?RtlInitUnicodeString(&devName,L"\\Device\\ByPass_Devcice");?//初始化設(shè)備名稱
?//創(chuàng)建設(shè)備
?status=IoCreateDevice(pDriverObject,0,&devName,FILE_DEVICE_UNKNOWN,0,TRUE,&pDevObj);
????if(!NT_SUCCESS(status))?//如果創(chuàng)建設(shè)備失敗
?{
??if?(status==STATUS_INSUFFICIENT_RESOURCES)
??{
???KdPrint(("驅(qū)動資源不足.....++++++++++++"));
???
??}
??if?(status==STATUS_OBJECT_NAME_EXISTS)
??{
???KdPrint(("驅(qū)動對象名已存在.....++++++++++++"));
???
??}
??if?(status==STATUS_OBJECT_NAME_COLLISION)
??{
???KdPrint(("驅(qū)動對象名有沖突....++++++++++++"));
???
??}
??KdPrint(("設(shè)備創(chuàng)建失敗..........+++++++"));
??return?status;
?}
?pDevObj->Flags?|=?DO_BUFFERED_IO?;
?//創(chuàng)建符號鏈接
????RtlInitUnicodeString(&symlinkname,L"\\??\\ByPass_symlink");
?status=IoCreateSymbolicLink(&symlinkname,&devName);
?if?(!NT_SUCCESS(status))
?{
??IoDeleteDevice(pDevObj);?//如果創(chuàng)建設(shè)備符號鏈接不成功則刪除
??return?status;
?}
?KdPrint(("設(shè)備創(chuàng)建成功...............++\n"));
?????return?STATUS_SUCCESS;
}
//
//?名稱:?WPOFF
//?功能:?關(guān)閉頁面保護(hù)
//?參數(shù):?
//?返回:?
//
void?wpoff()
{
?__asm?
?{
??cli
??mov?eax,cr0
??and?eax,not?10000h
??mov?cr0,eax
?}
}
//
//?名稱:?WPON
//?功能:?開啟頁面保護(hù)
//?參數(shù):?
//?返回:?
//
void?wpon()
{
?__asm?
?{
??mov?eax,cr0
??or?eax,10000h
??mov?cr0,eax
??sti
?}
}
//
//?名稱:?卸載函數(shù)
//?功能:?處理卸載驅(qū)動要做的事情，恢復(fù)自寫HOOK
//?參數(shù):?
//?返回:?
//
void?uninstall()
{
?KIRQL?Irql;
?//WriteMemoryAddr=CurNTWriteVirtualMemory();
?BYTE?byWriteVirtualMemory[7]?=?{0x6A,0x1C,0x68,0x08,0xAF,0x4D,0x80};??//系統(tǒng)原WriteVirtualMemory前7字節(jié)?硬編碼?請適當(dāng)修改?
????BYTE?byReadVirtualMemory[7]??=?{0x6A,0x1C,0x68,0xF0,0xAE,0x4D,0x80};?//系統(tǒng)原ReadVirtualMemory前7字節(jié)?硬編碼?請適當(dāng)修改
?BYTE?byAllocateVirtualMemory[5]?=?{0x68,0x18,0x01,0,0};?//系統(tǒng)原AllocateVirtualMemory前5字節(jié)?硬編碼?請適當(dāng)修改
?wpoff();?//關(guān)閉頁面保護(hù)
?Irql=KeRaiseIrqlToDpcLevel();?//提升IRQ等級
?恢復(fù)WriteVirtualMemory
?RtlCopyMemory((BYTE*)WriteMemoryAddr,byWriteVirtualMemory,7);
?恢復(fù)ReadVirtualMemory
?RtlCopyMemory((BYTE*)ReadMemoryAddr,byReadVirtualMemory,7);
?恢復(fù)AllocateVirtualMemory
?RtlCopyMemory((BYTE*)AllocateMemoryAddr,byAllocateVirtualMemory,5);
?//恢復(fù)IRQ中斷等級
?KeLowerIrql(Irql);
?//開啟頁面保護(hù)
?wpon();
}
?
---------------------------------------------------------------------------------------------------------
?
/********************************************************************
*?創(chuàng)建時間:??2012/03/16
*?文件名稱:??GetAddrs.h?頭文件
*?文件作者:??月夜翔龍
*?===================================================================
*?功能說明:??獲得函數(shù)首地址,自寫HOOK,跳過游戲檢測CALL
*?-------------------------------------------------------------------
*?其他說明:??
*********************************************************************/
/*********************************************************
**********功能:?獲得當(dāng)前ReadVirtualMemory地址?************
**********參數(shù):????無??***********************************
*********返回值:?函數(shù)地址?********************************
*********公式:?函數(shù)地址=SSDT表基地址+函數(shù)標(biāo)號*4?**********
*********************************************************/
ULONG?CurNTReadVirtualMemory()?
{
?ULONG?ReadMemoryBase;
?__asm
?{?
??push?eax?//存放ssdt地址?
?????push?ebx?//存放函數(shù)在SSDT表索引號?ReadVirtualMemory?十進(jìn)制186?十六進(jìn)制0XBA?不同系統(tǒng)索引號可能不同?KD查看SSDT表?
??mov?eax,KeServiceDescriptorTable
??mov?eax,[eax]?//取出ssdt基地址
??mov?ebx,0xBA?//存放索引號
??shl?ebx,2?//0xBA*4?shl?ebx,2?==?imul?ebx,ebx,4
??add?eax,ebx?//KeServiceDescriptorTable+0xBA*4??
??mov?eax,[eax]?//取出函數(shù)地址
????????mov?ReadMemoryBase,eax?//保存到ReadMemoryBase?
??pop?eax
??pop?ebx
?}
?KdPrint(("curReadMemory值為%x?+++++++\n",ReadMemoryBase));
?return?ReadMemoryBase;
}
/*********************************************************
**********功能:?獲得當(dāng)前WriteVirtualMemory地址?************
**********參數(shù):????無??***********************************
*********返回值:?函數(shù)地址?********************************
*********公式:?函數(shù)地址=SSDT表基地址+函數(shù)標(biāo)號*4?**********
*********************************************************/
ULONG?CurNTWriteVirtualMemory()?
{
?ULONG?WriteMemoryBase;
?__asm
?{?
??push?eax?//存放ssdt地址?
?????push?ebx?//存放函數(shù)在SSDT表索引號?WriteVirtualMemory?十進(jìn)制277?十六進(jìn)制0X115?不同系統(tǒng)索引號可能不同?KD查看SSDT表
??mov?eax,KeServiceDescriptorTable
??mov?eax,[eax]?//取出ssdt基地址
??mov?ebx,0x115?//存放索引號
??shl?ebx,2?//0xBA*4?shl?ebx,2?==?imul?ebx,ebx,4
??add?eax,ebx?//KeServiceDescriptorTable+0x115*4??
??mov?eax,[eax]?//取出函數(shù)地址
????????mov?WriteMemoryBase,eax?//保存到WriteMemoryBase?
??pop?eax
??pop?ebx
?}
?KdPrint(("curWriteMemory值為%x?+++++++\n",WriteMemoryBase));
?return?WriteMemoryBase;
}
/*********************************************************
**********功能:?獲得當(dāng)前NTAllocateVirtualMemory地址?******
**********參數(shù):????無??***********************************
*********返回值:?函數(shù)地址?********************************
*********公式:?函數(shù)地址=SSDT表基地址+函數(shù)索引號*4?********
*********************************************************/
ULONG?CurNTAllocateVirtualMemory()?
{
?ULONG?AllocateMemoryBase;
?__asm
?{?
??push?eax?//存放ssdt地址?
?????push?ebx?//存放函數(shù)在SSDT表索引號?AllocateMemory??十進(jìn)制17十六進(jìn)制0X11?不同系統(tǒng)索引號可能不同?KD查看SSDT表
??mov?eax,KeServiceDescriptorTable
??mov?eax,[eax]?//取出ssdt基地址
??mov?ebx,0x11?//存放索引號
??shl?ebx,2?//0x11*4????shl?ebx,2?==?imul?ebx,ebx,4
??add?eax,ebx?//KeServiceDescriptorTable+0x11*4??
??mov?eax,[eax]?//取出函數(shù)地址
????????mov?AllocateMemoryBase,eax?//保存到AllocateMemoryBase?
??pop?eax
??pop?ebx
?}
?KdPrint(("curAllocateMemory值為%x?+++++++\n",AllocateMemoryBase));
?return?AllocateMemoryBase;
}
/*********************************************************
**********功能:?通過MmGetSystemRoutineAddress()獲取地址***
****************?????????演示，功能同上?????????????******
**********參數(shù):????無???????????????????????????????******
*********返回值:?函數(shù)地址???????????????????????????******
*********公式:?無???????????????????????????????????******
**********************************************************
ULONG?OldNTAllocateVirtualMemory()?
{
??????ULONG?OldAllocateMemoryBase;
???UNICODE_STRING?S_AllocateMemory;
???RtlInitUnicodeString(&S_AllocateMemory,L"NtAllocateVirtualMemory");//初始化字串
???OldAllocateMemoryBase=(ULONG)MmGetSystemRoutineAddress(&S_AllocateMemory);//獲得地址
???KdPrint(("OldAllocateMemory值為%x?+++\n",OldAllocateMemoryBase));
???return?OldAllocateMemoryBase;
}
*/
/*********************************************************
**********功能:?恢復(fù)WriteVirtualMemory正常流程??????******
****************??????跳過游戲檢測CALL??????????????******
**********參數(shù):????無???????????????????????????????******
*********返回值:?無?????????????????????????????????******
*********公式:?無???????????????????????????????????******
*********************************************************/
static?NAKED?void?MyWriteVirtualMemory()
{
?/*進(jìn)程比較代碼實(shí)現(xiàn)，該游戲不需要
?獲得調(diào)用者的EPROCESS
?WriteMemoryEPROCESS?=?IoGetCurrentProcess();
?KdPrint(("WriteMemoryEPROCESS值為%x?++++\n",WriteMemoryEPROCESS));
?WriteMemoryEPROCESS_174=(ULONG)WriteMemoryEPROCESS+0x174;
?KdPrint(("WriteMemoryEPROCESS+0x174值為%x?++++\n",WriteMemoryEPROCESS_174));
?將調(diào)用者的進(jìn)程名保存到str1中
?RtlInitAnsiString(&wm_str1,(PCSZ)WriteMemoryEPROCESS_174);???
?將我們要比對的進(jìn)程名放入str2
?RtlInitAnsiString(&wm_str2,APPNAME);
?KdPrint(("當(dāng)前進(jìn)程名稱值為:%x?++++\n",&wm_str1));
?KdPrint(("APPNAME值為:%x?++++\n",&wm_str2));
?if?(RtlCompareString(&wm_str1,&wm_str2,FALSE)?==?0)
?*/
?__asm?
?{
??//0x805B53CC?
??push?0x1C
??push?0x804DAF08??//硬編碼,不同系統(tǒng)可能有所不同，請按實(shí)際修改
??mov?eax,0x8053CBE0??//硬編碼,不同系統(tǒng)可能有所不同，請按實(shí)際修改
??call?eax
????????mov?eax,?dword?ptr?fs:[0x124]
????????mov?edi,?eax
????????mov?al,?byte?ptr?[edi+0x140]
????????mov?byte?ptr?[ebp-0x20],?al
????????mov?esi,?dword?ptr?[ebp+0x14]
????????test?al,?al
??mov?eax,writeMemory_22?
??jmp?eax??//恢復(fù)writememory前32字節(jié)然后跳轉(zhuǎn)到writememory+0x22正常執(zhí)行,跳過游戲檢測call
?}?//end?asm?
}
/*********************************************************
**********功能:?恢復(fù)ReadVirtual?Memory正常流程??????******
****************??????跳過游戲檢測CALL??????????????******
**********參數(shù):????無???????????????????????????????******
*********返回值:?無?????????????????????????????????******
*********公式:?無???????????????????????????????????******
*********************************************************/
static?NAKED??void?MyReadVirtualMemory()
{
?__asm?
?{
??//0x805B52C2
????????push?0x1C
????????push?0x804DAEF0?//硬編碼,不同系統(tǒng)可能有所不同，請按實(shí)際修改
????????mov??eax,0x8053CBE0?//硬編碼,不同系統(tǒng)可能有所不同，請按實(shí)際修改
????????call?eax
????????mov?eax,?dword?ptr?fs:[0x124]
????????mov?edi,?eax
????????mov?al,?byte?ptr?[edi+0x140]
????????mov?byte?ptr?[ebp-0x20],?al
????????mov?esi,?dword?ptr?[ebp+0x14]
????????test?al,?al
??mov?eax,readMemory_22?//恢復(fù)readmemory前32字節(jié)然后跳轉(zhuǎn)到readmemory+0x22正常執(zhí)行,跳過游戲檢測call
??jmp?eax
?}
}
/*********************************************************
**********功能:?恢復(fù)AllocateVirtualMemory正常流程???******
****************??????跳過游戲檢測CALL??????????????******
**********參數(shù):????無???????????????????????????????******
*********返回值:?無?????????????????????????????????******
*********公式:?無???????????????????????????????????******
*********************************************************/
static?NAKED??void?MyAllocateVirtualMemory()
{
?__asm?
?{
????????//0x805A9ABA?
????????push?0x118??//硬編碼,不同系統(tǒng)可能有所不同，請按實(shí)際修改
????????mov?eax,AllocateMemory_5//恢復(fù)前5字節(jié)然后跳轉(zhuǎn)到allocatememory+0x5正常執(zhí)行,跳過游戲檢測call
????????jmp?eax
?}
}
/*********************************************************
**********功能:hook原函數(shù)頭5個字節(jié)跳轉(zhuǎn)到自寫函數(shù)執(zhí)行******
****************????????????????????????????????????******
**********參數(shù):????無???????????????????????????????******
*********返回值:?無?????????????????????????????????******
*********公式:jmp?jmpaddr??jmp機(jī)器碼E9??????????????******
*********jmpaddr公式:新地址-(原地址+5)或-原地址-5???******
*********************************************************/
void?hookWriteMemory()
{
?BYTE??JmpAddress[7]?=?{0xE9,0,0,0,0,0x90,0x90};
?//該數(shù)組首字節(jié)為E9,即是jmp指令,后四字節(jié)為跳轉(zhuǎn)字節(jié)，故為0,
?//0x90為NOP指令,因WriteMemory匯編代碼頭部是兩條指令7字節(jié)?故后2字節(jié)用nop填充
?KIRQL?Irql;
?WriteMemoryAddr=CurNTWriteVirtualMemory();//獲得當(dāng)前WriteVirtualMemory地址?即原地址??
?writeMemory_22=WriteMemoryAddr+0x22;?//WriteVirtualMemory+0x22?恢復(fù)前32字節(jié)然后跳轉(zhuǎn)到這里繼續(xù)執(zhí)行??
?*(ULONG?*)(JmpAddress+1)=(ULONG)MyWriteVirtualMemory?-?(WriteMemoryAddr+5);?
?//將jmpaddr?寫入數(shù)組E9之后4字節(jié)?
?wpoff();?//關(guān)閉CR0
?Irql=KeRaiseIrqlToDpcLevel();?//提升IRQ中斷等級
?//向WriteVirtualMemory首地址寫入7字節(jié)，實(shí)現(xiàn)HOOK
?RtlCopyMemory((BYTE*)WriteMemoryAddr,JmpAddress,7);
?KeLowerIrql(Irql);?//恢復(fù)Irql
?wpon();??//開啟cr0
}
/*********************************************************
**********功能:hook原函數(shù)頭5個字節(jié)跳轉(zhuǎn)到自寫函數(shù)執(zhí)行******
****************????????????????????????????????????******
**********參數(shù):????無???????????????????????????????******
*********返回值:?無?????????????????????????????????******
*********公式:jmp?jmpaddr??jmp機(jī)器碼E9??????????????******
*********jmpaddr公式:新地址-(原地址+5)或-原地址-5???******
*********************************************************/
void?HookReadVirtualMemory()
{
?BYTE?JmpAddress[7]?=?{0xE9,0,0,0,0,0x90,0x90};
?KIRQL?Irql;
?ReadMemoryAddr=CurNTReadVirtualMemory();
?readMemory_22=ReadMemoryAddr+0x22;
?*(ULONG*)(JmpAddress+1)=(ULONG)MyReadVirtualMemory??-?(ReadMemoryAddr+5);
?wpoff();
?Irql=KeRaiseIrqlToDpcLevel();
?RtlCopyMemory((BYTE*)ReadMemoryAddr,JmpAddress,7);
?KeLowerIrql(Irql);
?wpon();
}
/*********************************************************
**********功能:hook原函數(shù)頭5個字節(jié)跳轉(zhuǎn)到自寫函數(shù)執(zhí)行******
****************????????????????????????????????????******
**********參數(shù):????無???????????????????????????????******
*********返回值:?無?????????????????????????????????******
*********公式:jmp?jmpaddr??jmp機(jī)器碼E9??????????????******
*********jmpaddr公式:新地址-(原地址+5)或-原地址-5???******
*********************************************************/
void?HookAllocateVirtualMemory()
{
????BYTE?Jmpaddress[5]?=?{0xE9,0,0,0,0};?
?//因AllocateVirtualMemory匯編頭部為push?118占5字節(jié)?與jmp?xxxx?相同?故只需hook一條指令即可?
?KIRQL?Irql;
?AllocateMemoryAddr=CurNTAllocateVirtualMemory();
?AllocateMemory_5=AllocateMemoryAddr+0x5;
?*(ULONG*)(Jmpaddress+1)=(ULONG)MyAllocateVirtualMemory?-?(AllocateMemoryAddr+5);
?wpoff();
?Irql=KeRaiseIrqlToDpcLevel();
?RtlCopyMemory((BYTE*)AllocateMemoryAddr,Jmpaddress,5);
?KeLowerIrql(Irql);
?wpon();
}

該驅(qū)動代碼?可根據(jù)自己系統(tǒng)改變硬編碼后?用XT?KD?可以看到加載后和卸載?HOOK的幾個函數(shù)代碼變化，無需使用游戲。
相信新手會對inline?hook有所了解

?

?

?

出處：http://www.cnblogs.com/zhangdongsheng/ 作者：張東升 QQ:290387340

總結(jié)

以上是生活随笔為你收集整理的日服巫术online过驱动保护分析（纯工具）（工具+自写驱动）的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。