KNowlet 技術の休閒

由於這已經是個公開的秘密了...  （是嗎？ 然後放寒假很無聊嘗試用 DevC 來寫了這個小東西... 反正也很久沒完楓之谷了 XD

這只是轉帖，在國外已經有一段時間了，給那些沒注意到的讀者看看 由於沒有去測試台版能不能多開所以請有興趣的自行嘗試 如果不幸不能多開請不要找我，我不是作者...

大大請無視，此篇只是在說明如何利用 HackShield 的白名單 進行繞過進程保護... 想寫這篇是因為在去年底（芥末日隔天？）隨著 KNowlet Engine 釋出了幾種已有大大幾乎開發好了的過保護方法，有些甚至可以直接使用，結果一堆人有看沒有到，不自己嘗試，還一直問。（而且此現象還在繼續... 所以上班無聊就寫了個 Demo 來給大家示範一下了 ... （喂

這是一個驅動，可以過進程保護、還有寫入保護，你可以在HS載入之後才寫入數據，不再受限。 簡單來說，你可以在遊戲中開關功能、寫入數據等等。 請注意，這個驅動沒有過驅動檢測、沒有過調試器檢測、沒有過多開檢測，如果你是想嘗試這些你可以略過本文了。 這個驅動有問題請不要找我，這不是我寫的。 適用於XP、Win7 32位元(x86)用戶，其他電腦版本請路過。

Q：CRC是神馬，能吃嘛!? A： 循環冗餘校驗 （ 英語 ： Cyclic redundancy check ，通稱「 CRC 」）是一種根據網路數據封包或 電腦檔案 等數據產生簡短固定位數驗證碼的一種 雜湊函數 ，主要用來檢測或校驗數據傳輸或者保存後可能出現的錯誤。 下面是EMS的CRC介紹，覺得寫得還算完整就用本嫩嫩最強的技能Ctrl+C給貼過來拉～ 順便翻譯下，翻譯就附在原文下囉，希望英文不好的可以趁機看看... 順帶一提...EMS跟TwMS的MSCRC基本上是一樣的喔... 來源： https://ccplz.net/threads/ems-v75-bypass-information.23009/ 翻譯： KNowlet 技術の休閒

From:  http://www.gamedeception.net/threads/20450-Driver-to-bypass-Hackshield-memory-protection?s=dcbea4ca9540d0e50ddd2fba5dce425f ONLY FOR EDUCATIONAL PURPOSES ! This software is an exploit, because they shouldn't call ZwQueryInformationProcess, they should use ObReferenceObjectByHandle instead. INTRODUCTION HackShield memory protection works by hooking some functions in kernel space. EagleNT.sys is checking all parameters passed to hooked functions and then it blocks or allows operation. When HS memory unprotector driver is loaded, you can use OpenProcess, WriteProcessMemory and ReadProcessMemory like normal. HOW MEMORY PROTECTION WORKS ? HackShield is replacing three functions (NtReadVirtualMemory, NtWriteVirtualMemory and NtOpenProcess) to protect game memory.  

其實這文章有一半是Inndy大神寫的，被抄襲惹XDDD HS白名單可用偽裝的進程列表，摘自: 【原創】Hackshield內幕 原文網址： http://bbs.pediy.com/showpost.php?p=1085889&postcount=1 以前的inlinehook.dll聽說已經不能用惹...

標 題: 【原創】Hackshield內幕 作 者: thisIs 時 間: 2012-05-17,13:09:14 鏈 接: http://bbs.pediy.com/showthread.php?t=150758 最近討論遊戲保護的帖子又見增多, 正好我以前逆過HS, 摳出點東西來跟大家分享下 今天也是我接觸驅動, 逆向這一塊整整一週年, 寫個帖子聊表紀念 論壇上這方面帖子大多都是寫的如何跳過驅動層的hook點來達到過保護的目的 再聊這些東西也沒什麼意思, 我就爆料一些HS內部的處理的細節吧 這裡面有很多很好的安全編程方法值得我們借鑑和學習, 大家有時間的話可以拖到IDA中看一下, 比起寫個驅動在內核跳來跳去, 學習到一些實用的編程技巧對自身的成長是大有益處的 寫這篇帖子的時候我的電腦中並沒有裝帶有HS保護的遊戲, 所以下面討論的內容全部根據以前逆向時留下的筆記和回憶來總結的, 所以具體的細節上可能與實際有所出入 這裡的討論的HS版本全部都是去年11月份左右的版本, 應該是5.5.xxx 而我最後一次玩某遊戲好像版本有了小幅度的更新

不要看=口=你可能會吐血! 本文只是把別人的文章全數Copy過來，當時怕文章遺失因此出此下策 <(_ _)>

其實本來我沒直接用這東西就是有些電腦無法正常使用... 原因不明... 功能 Bypass HackShield InlineHook Check Win7 x64 已有網友幫忙測試成功... 下載點 請注意 1.他只針對名為"楓之谷洋蔥"的程式...如果其他程式也想用那...XD 2.裡面的那個檔案IH.KN請不要改名字，不然程式會找不到注入檔案...(可是他不會跳到例外處理，還是會顯示成功=  =)

爬了很多外國文 很多功能看不懂...又沒辦法翻譯...剛找到這篇~看看吧

原作者:Inndy 首發於:Hack-Stuff Q: ImagePath是什麼？ A： 執行程式的時候，系統會建立一些資料區塊，裡面放了該程式執行時的一些資料，例如：CommandLine（就是程式參數，像是楓之谷私服登入器就是透過CommandLine來決定登入的IP和Port）....等 而ImagePath就是其中的一項

準備工具：XueTr