谁给个过传奇3GPK保护检测的方法和思路

sxpp520

谁给个过传奇3GPK保护检测的方法和思路，我会回赠流星币的，悄悄发个站内信也行

小小思维

过传奇3驱动保护GPK驱动保护CE与OD能够正常附加分析啦！！！

http://www.kanliuxing.com/viewthread.php?tid=1850

小小思维

上贴，现在恢复后 有几个函数有恢复检测，是必须自己写驱动用inline hook 来解决检测问题~~~

雨夜

方法1：ssdt hook  对付gpk的 inline hook , 难点是 hook掉 call 后面的函数地址，（hook ObCheckObjectAccess）

ObCheckObjectAccess这个函数关于进程句柄的获取，OpenProcess。9
还有一个问题 ce不能附加传奇3，是因为gpk  hook了内核函数ObCheckObjectAccess

Gpk hook了内核函数ObCheckObjectAccess 可以说是"一石二鸟"，线程、进程全部被保护起来了。
这样就导致以下两种反智辅的情景：
一、利用OpenProcess的Api函数返回为0，不能获取传奇3的进程句柄。
二、CE工具不能附加传奇3，弹出"打开进程失败"等提示。其实ce也是用api函数的OpenProcess

那么我们看下以下这个OpenProcess从ring3到ring0的执行路线：
Ring3用户层OpenProcess ->Ring0驱动层NtOpenProcess->Ring0驱动层ObOpenObjectByPointer(name)->Ring0驱动层 ObpCreateHandle->Ring0驱动层ObpIncrementHandleCount->Ring0驱动层ObCheckObjectAccess -> Ring0驱动层ObGetObjectSecurity。

klx8477797z

雨夜老师 您用的什么方法 看的从ring3到ring0的执行路线？？

cooby

也许似乎大概是，然而未必不见得。