dnf驱动保护原理及过保护代码书写.pdfVIP

dnf驱动保护原理及过保护代码书写 学习各种外挂制作技术，马上去百度搜索 魔鬼作坊 点击第 一个站进入、快速成为做挂达人。 在偶看来dnf游戏一点也不好玩 但是人家还这么火，所以就得搞个dnf 挂出来要搞挂就得 先过它的反外挂系统。 经过分析 dnf一共对 5 个函数做了手脚 NtWriteVitualMemory， //用户层写内存 NtReadVittualMemory，//用户层读内存 NtpenProcess， // 用户层得到进程句柄 NtOpenThread， //用户层创建线程 KiAttachProcess //用户层调试附加函数 #include main.h int KiAttachProcess_Addr; int KeAttachProcess_e8; void UnKiAttachProcess(); NTSTATUS DriverEntry(PDRIVER_OBJECT pDriverObject,PUNICODE_STRING pRegistrPath) { UnNtWriteVitualMemory();//绕过NtWriteVitualMemoryhook UnNtReadVittualMemory();//绕过NtReadVittualMemoryhook UnNpenProcess(); //绕过NtNpenProcesshook UnNtOpenThread(); //绕过NtOpenProcesshook UnKiAttachProcess(); //绕过KiAttachProcesshook pDriverObject-DriverUnload=Unload; KdPrint((驱动加载成功\n)); return0; } NTSTATUSCreateMyDevice(PDRIVER_OBJECT pDriverObject) { NTSTATUSstatus; PDRIVER_OBJECTpDevObj; UNICODE_STRING devName; UNICODE_STRING symlinkName; returnSTATUS_SUCCESS;///// } void Unload(PDRIVER_OBJECT pDriverObject) { UnHook();//恢复所有修改过的代码 KdPrint((驱动成功被卸载\n)); } //恢复NtReadVittualMemory 的hook void UnNtReadVittualMemory() { UNICODE_STRING FsRtlLegalAnsiCharacterArray_String; int FsRtlLegalAnsiCharacterArray_Addr; RtlInitUnicodeString(FsRtlLegalAnsiCharacterArray_String,LFsRtlLegalAnsiCharacterArray) ; FsRtlLegalAnsiCharacterArray_Addr=(int)MmGetSystemRoutineAddress(FsRtlLegalAnsiChar acterArray_String); KdPrint((FsRtlLegalAnsiCharacterArray=%x\n,FsRtlLegalAnsiCharacterArray_Addr)); __asm { cli moveax,cr0 and eax,not10000h movcr0,eax moveax,KeServiceDescriptorTable moveax,[eax] add eax,0x2e8 moveax,[eax] movbyte ptrds:[eax],0x6a movbyte ptrds:[eax+1],0x1c movbyte ptrds:[eax+2],0x68 movebx,FsRtlLegalAnsiCharacterA