[源码] 过TP之创建CreateMyDbgkDebugObjectType

rgbwcwmtd · 发表于 2014-4-17 22:20:54

学习了支持下啊

1778434412 · 发表于 2014-4-25 20:01:26

qtertergergerg

ghjhvg1022 · 发表于 2014-5-5 21:41:02

求带走。。。。。。。。。

bense3904 · 发表于 2014-5-8 20:56:59

push 0x805CC625
   mov  edx,0x805CC621
   mov  edx,dword ptr [edx]
   add  edx,0x805CC625
   jmp  edx  //TP模块的函数，DNF程序不从这里过，就报非法模块

1433784648 · 发表于 2014-5-9 04:23:46

易语言教程_易语言源码_易语言写挂_易语言论坛_看流星社区 » ::::驱动交流:::: » 已解决用CE分析DNF，不会再报非法模块，源码分享了... » 参与/回复主题

注册很麻烦 · 发表于 2014-5-29 20:23:51

必须要顶必须要顶必须要顶

593067768 · 发表于 2014-5-29 21:58:19

不错的样子

kanliudage · 发表于 2015-1-31 21:51:39

支持，还能用吗

swyx · 发表于 2015-2-2 02:22:38

因为TP有个线程不断的对这个清零,测试过以下方案:
1.直接恢复结构,马上会被清零,od提示无法附加进程,放弃
2.inlinehook,调用ob***之前恢复结构,因为tp清零太快,od提示无法附加进程,放弃

还有个难点就是debugport清零了,我已经解决了,至于方法就不直接说了,提示一下:
修改31处系统函数的debugport偏移,但是有一处tp有检测,我是用Inlinehook绕过的,不修改这一处偏移,在自己的代码里写上新偏移.
至于是检测了哪一处,你们自己测试,我曾经inlinehook了31处才确定的.汗啊!
等哪天tp增加检测的位置,我那31个inlinehook代码又要用上了.

总结:
1.不能修改TesSafe.sys代码,有校验,修改任何一个字节会重启,如果有能力过掉校验就没问题,好像很麻烦,我就不走这条路了.
2.修改系统函数代码,如果有检测,会弹出警告,此时就要改变修改位置,比如双机调试的inlinehook.

wanhuiwen · 发表于 2015-7-20 19:47:51

回复 1# 多维时空

谢谢LZ

		自动登录	找回密码
密码			注册账号