rgbwcwmtd
发表于 2014-4-17 22:20:54
学习了支持下啊
1778434412
发表于 2014-4-25 20:01:26
qtertergergerg
ghjhvg1022
发表于 2014-5-5 21:41:02
求带走。。。。。。。。。
bense3904
发表于 2014-5-8 20:56:59
push 0x805CC625
movedx,0x805CC621
movedx,dword ptr
addedx,0x805CC625
jmpedx//TP模块的函数,DNF程序不从这里过,就报非法模块
1433784648
发表于 2014-5-9 04:23:46
易语言教程_易语言源码_易语言写挂_易语言论坛_看流星社区 » ::::驱动交流:::: » 已解决用CE分析DNF,不会再报非法模块,源码分享了... » 参与/回复主题
注册很麻烦
发表于 2014-5-29 20:23:51
必须要顶必须要顶必须要顶
593067768
发表于 2014-5-29 21:58:19
不错的样子
kanliudage
发表于 2015-1-31 21:51:39
支持,还能用吗
swyx
发表于 2015-2-2 02:22:38
因为TP有个线程不断的对这个清零,测试过以下方案:
1.直接恢复结构,马上会被清零,od提示无法附加进程,放弃
2.inlinehook,调用ob***之前恢复结构,因为tp清零太快,od提示无法附加进程,放弃
还有个难点就是debugport清零了,我已经解决了,至于方法就不直接说了,提示一下:
修改31处系统函数的debugport偏移,但是有一处tp有检测,我是用Inlinehook绕过的,不修改这一处偏移,在自己的代码里写上新偏移.
至于是检测了哪一处,你们自己测试,我曾经inlinehook了31处才确定的.汗啊!
等哪天tp增加检测的位置,我那31个inlinehook代码又要用上了.
总结:
1.不能修改TesSafe.sys代码,有校验,修改任何一个字节会重启,如果有能力过掉校验就没问题,好像很麻烦,我就不走这条路了.
2.修改系统函数代码,如果有检测,会弹出警告,此时就要改变修改位置,比如双机调试的inlinehook.
wanhuiwen
发表于 2015-7-20 19:47:51
回复 1# 多维时空
谢谢LZ