3301| 5
|
x64 antidebug 不触发PG 补充代码 |
先说antiantidebug 都知道 32位的驱动保护 不用VT说白了就是 HOOK过来 HOOK过去 比的是谁的 钩子深 谁的 钩子更多~~~~ 然而 64位呢 很多保护 例如TP/HP/HS 基本就是驱动几个callbacks 应用层 几个钩子 反调试 模拟一场等等 我的 PASS方法呢 例如TP钩子 KIuserdispatcherException 这个 钩子的恢复方法 直接恢复 或者挂钩 游戏会秒掉 因为他自己处理了自己的异常,但是实际 他里面并没有用到检测硬件断点~~~HOOK 方式 过滤异常是他的就跳到他里面 提前计算他的钩子函数 ,不是就自己处理~~(HOOK注意堆栈和标志位) 其他的就是干线程和忽略 模拟异常了 忽略模拟异常的方式 HOOK OD WaitDebugEvent 过滤000400..07.....随便改一个 然后OK~~~~ 最后ANTIDEBUG ~~~ X64没PASS pg 也没用VT技术的 比较难防御~!~~ 枚举所有进程(EPROCESS链) 枚举句柄表 所有句柄项 法相TPYEININDEX为11(win7)的直接 抹掉句柄 当然得正常一点儿的抹掉先设置属性可关闭等等最后 KISTACKattachprocess NTclose(TA的 代码里面有) 出现的效果就是 没法调试了~~ 代码我实现了 没网 所以就不发了 等有网了发把~~ 还可以这样阻止搜索内存 打开进程~~~~ 放出源码:
购买主题
本主题需向作者支付 30 流星币 才能浏览
| |
Powered by Kanliuxing X3.4
© 2010-2019 kanliuxing.com