OD/CE 过掉TMD壳附加检查
来源:互联网 发布:百度音乐网络歌曲 编辑:程序博客网 时间:2024/05/15 09:45
恢复OD进程附加原理
1、恢复DbgBreakPoint和DbgUiRemoteBreakin被HOOK代码
//由于我是使用ntdll SDK,可直接使用NTDLL中的API,如果你们不能使用,直接用GetProcAddress获取API
注意该处的修复,自己可以写个HOOK,放到LoadLibrary,每次加载DLL时候,就处理一次,防止某些DLL还有TMD壳,又会被恢复
ntdll->DbgBreakPoint 被TMD壳修改为retn-> 0xC3
DWORD lpflOldProtect;
LPVOID ulAddress= DbgBreakPoint;
VirtualProtect(ulAddress,1,PAGE_EXECUTE_READWRITE,&lpflOldProtect);
*(BYTE*)(ulAddress) =0xCC;
ntdll->DbgUiRemoteBreakin 被TMD修改为JMP LdrShutdownProcess
ulAddress = DbgUiRemoteBreakin
VirtualProtect(ulAddress,1,PAGE_EXECUTE_READWRITE,&lpProtect);
*(BYTE*)(ulAddress) =0x6A;
*(DWORD*)((BYTE*)ulAddress+1)= 0xFC686808;
2、修复允许CE的附加
第一步虽然修复了允许附加,但TMD壳本身还自带线程检查ANTI,所以我们要终止掉这些线程
BOOL WINAPI _AhnHS_GetThreadModuleName(char* szModuleName,DWORD szThreadId,LPVOID & StartAddress,HANDLE & hThread)
{
hThread = OpenThread(THREAD_ALL_ACCESS, FALSE, szThreadId);
if (!hThread) return FALSE;
LONG status= ZwQueryInformationThread(hThread, ThreadQuerySetWin32StartAddress, &StartAddress, sizeof(StartAddress), NULL);
if(status <0)
{
CloseHandle(hThread);
SetLastError(RtlNtStatusToDosError(status));
return FALSE;
}
return (GetMappedFileNameA(GetCurrentProcess(), StartAddress, szModuleName, MAX_PATH)>=0) ? TRUE : FALSE;
}
void WINAPI _AhnHS_PassThreadByTMD()
{
HANDLE hThreadSnap , hThread;
THREADENTRY32 te32= {0};
CONTEXT context= {0};
hThreadSnap = CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, 0);
if ( hThreadSnap == INVALID_HANDLE_VALUE )
return;
memset(&te32, 0, sizeof(THREADENTRY32));
te32.dwSize = sizeof(THREADENTRY32);
BOOL dwRet= Thread32First(hThreadSnap, &te32);
DWORD dwCurrentProcessId= GetCurrentProcessId();
do
{
if (te32.th32OwnerProcessID != dwCurrentProcessId) continue;
char szModuleFileName[MAX_PATH];
LPVOID StartAddress;
if(!_AhnHS_GetThreadModuleName(szModuleFileName,te32.th32ThreadID,StartAddress,hThread)) continue;
char* pszName= (strrchr(szModuleFileName,'\\')) ? strrchr(szModuleFileName,'\\')+1 : szModuleFileName;
//AntiHookGetMainThreadId()=主线程ID,可自行修改
if(lstrcmpiA(pszName,AntiHookGetModuleInfo()->AppName)==0 && AntiHookGetMainThreadId()!=te32.th32ThreadID)
{
//远程线程非代码块,为其它检查线程,终止
HMODULE lib = GetModuleHandleA(pszName);
PIMAGE_NT_HEADERSnth = PIMAGE_NT_HEADERS(PBYTE(lib) + PIMAGE_DOS_HEADER(lib)->e_lfanew);
IMAGE_SECTION_HEADER*pSection =(IMAGE_SECTION_HEADER*)((DWORD)nth + sizeof(IMAGE_NT_HEADERS));
if((DWORD)StartAddress>(pSection[0].VirtualAddress+(DWORD)lib) && (DWORD)StartAddress<pSection[1].VirtualAddress+(DWORD)lib) continue;
TerminateThread(hThread,0);
}
CloseHandle(hThread);
}while(Thread32Next(hThreadSnap, &te32));
CloseHandle(hThreadSnap);
}
OK,万事大吉,世界清静了
- OD/CE 过掉TMD壳附加检查
- 过HS保护(OD,CE)
- ce+od无法同时附加进程的问题
- CE+OD无法附加游戏进程的破解方法-不再为不能附加而烦恼了
- 防OD附加的代码
- 防OD附加的代码
- 第一次接触vc编程,顺便写一个过300英雄od附加的检测的小例子
- ANTI -附加OD 很早的了
- tmd
- TMD
- [持续更新]过SOD检测OD方法
- CE+OD实例——查找人物包裹信息
- OD+CE查找“植物大战僵尸”太阳数目地址
- 过TP驱动2(附加部分)
- [Debuggers] OD加强版 自动过anti,不飞不飞
- 过软件虚拟机的检查
- 这才真正是TMD的人过的日子...(早晨不再看blog了)
- 时间测试程序===TMD的简单,高手请飘过
- 广播域与冲突域
- 批处理设置永久环境变量
- Yii 中使用import和components引入组件
- SVM入门(四、五)线性分类器的求解——问题的描述
- c语言程序设计
- OD/CE 过掉TMD壳附加检查
- Emag eht htiw Em Pleh
- Linux下ip地址的配置方法
- Android SparseArray
- linux device注册
- Copy-On-Write 写时复制原理
- Linux进程的五个段
- Http协议学习(一)
- 守望者的逃离—贪心算法