一个禁止任何Ring3调试的驱动实现.pdfVIP

一个禁止任何Ring3 调试的驱动实现 学习各种外挂制作技术，马上去百度搜索 魔鬼作坊 点击第一个站进入、快速 成为做挂达人。 这个方法很简单：hookint1，int3 然后清除DebugPort，简单明了~~ 代码适用于多核，多系统~~~ 代码: #include ntddk.h #define MAKELONG(low,high) \ ((ULONG)(((USHORT)((ULONG)(low) 0xffff)) | ((ULONG)((USHORT)((ULONG)(high) 0xffff))) 16)) #define GET_LOW16_OF_32(data) \ ((USHORT)(((ULONG)data) 0xffff)) #define GET_HIGH16_OF_32(data) \ ((USHORT)(((ULONG)data) 16)) #pragmapack(push,1) typedefstructIDTR_ { USHORTlimit; ULONG base; }IDTR,*P_IDTR; typedefstructIDTENTRY_ { USHORToffset_low; USHORTselector; UCHAR reserved; UCHAR type:4; UCHAR always0:1; UCHAR dpl:2; UCHAR present:1; USHORToffset_high; }IDTENTRY,*P_IDTENTRY; #pragmapack(pop) ULONG Offset =0; ULONG HOOK_IDT_INDEX[] ={0x01,0x03}; #define HOOK_IDT_NUM sizeof(HOOK_IDT_INDEX)/sizeof(ULONG) VOID*g_old_entry[HOOK_IDT_NUM] = {0}; VOID*GetIdt() { IDTRidtr; _asmsidt idtr return(VOID *)idtr.base; } VOIDMyUserFilter() { KdPrint((CrurrentIRQL: %d\n,KeGetCurrentIrql())); if (Offset0) { ULONG eprocess= (ULONG)PsGetCurrentProcess(); PULONG pDebugPort= (PULONG)(eprocess+Offset); if (*pDebugPort0) { KdPrint((DebugObject= %x\n,pDebugPort)); *pDebugPort= 0;//clearDebugPort } } } __declspec(naked)InterruptProc01() { __asm { pushfd // 保存标志寄存器 pushad // 保存所有的通用寄存器 push fs __asm { mov ebx,30H //Set FStoPCR. mov fs,bx } call MyUserFilter pop fs popad // 恢复通用寄存器 popfd // 恢复标志寄存器 jmp g_old_entry[0] // 跳到原来的中断服务程序 } } __declspec(naked)InterruptProc03() { __asm { pushfd // 保存标志寄存器 pushad // 保存所有的通用寄存器 push fs __asm { mov ebx,30H //Set FStoPCR.