搜索

[27954] 2019-12-14_某游戏平台检测加速辅助案例分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2019-12-14_某游戏平台检测加速辅助案例分析 某 游 戏 平 台 检 测 加 速 辅 助 案 例 分 析 O t s 安 全   2 0 1 9 - 1 2 - 1 4 加 速 类 辅 助 会 对 游 戏 平 衡 造 成 极 大 的 破 坏 ， 这 类 辅 助 会 通 过 H O O K   a p i 的 方 式 来 达 到 修 改 游 戏 对 时 间 判 断 的 目 的 ， 一 般 情 况 下 ， 在 R 3 层 ， 这 类 辅 助 会 在   Q u e r y P e r f o r m a n c e C o u n t e r     T i m e G e t T i m e   G e t t i c k C o u n t 这 三 个 A P I 上 H O O K ， 修 改 他 们 的 返 回 值 ， 本 文 章 讲 解 一 下 某 游 戏 平 台 对 此 类 加 速 辅 助 的 检 测 方 法 。             首 先 用 p c h u n t e r 看 下 游 戏 是 否 在 以 上 三 个 A P I 挂 钩 。 在 该 游 戏 中 我 们 发 现 只 对 Q u e r y P e r f o r m a n c e C o u n t e r 进 行 了 H O O K ， 我 们 用 O D 来 看 下 他 的 代 码 （ 该 游 戏 有 简 单 的 反 调 试 ， 从 上 图 可 以 看 到 D b g U i r e m o t e B r e a k i n   被 挂 钩 。 函 数 头 部 被 跳 转 到 了 游 戏 的 检 测 D L L ， 跟 随 看 看 P u s h   e s i 是 对 e s i 压 栈 进 行 保 存 ， 与 后 面 的 p o p   e s i 对 应 进 入 第 一 个 c a l l 头 五 个 字 节 是 对 被 H O O K 的 A P I 头 部 进 行 还 原 ， 这 个 c a l l 其 实 就 是 对 Q u e r y P e r f o r m a n c e C o u n t e r 的 正 常 调 用 ，
然 后 返 回 值 给 e s i     再 c a l l   3 0 0 E 3 B E   这 个 c a l l 应 该 是 对 数 据 的 一 系 列 检 测 ， 由 于 代 码 被 V M 导 致 无 法 正 常 阅 读 ， 这 个 问 题 不 大 ， 我 们 只 需 对 原 A P I 头 部 进 行 还 原 就 可 以 过 掉 这 个 检 测 ， 整 个 过 程 类 似 于 传 说 中 的 C A L L 检 测 通 过 H O O K ， 检 测 调 用 数 据 判 断 是 否 合 法 。 当 然 单 单 还 原 A P I 头 部 并 不 能 完 全 过 掉 检 测 ， 为 防 止 我 们 还 原 头 部 或 者 加 速 辅 助 H O O K 该 A P I , 游 戏 对 A P I 头 部 做 了 字 节 校 验 ， 字 节 的 改 动 会 被 检 测 到 。 那 么 我 们 可 以 在 A P I 的 头 部 下 硬 件 访 问 断 点 ， 下 面 有 很 多 跳 转 ， 现 在 是 没 有 改 动 头 部 的 字 节 所 以 检 测 是 按 照 正 常 流 程 走 的 ， 如 果 改 动 字 节 的 话 应 该 会 跳 到 其 他 分 支 ， 我 们 F 8 往 下 走 可 以 看 到 周 围 有 很 多 相 似 的 代 码 ， 我 们 正 常 走 下 来 的 是 3 0 0 2 B 1 B 0 与 上 个 图 一 样 ， 如 果 改 动 了 字 节 则 会 跳 转 到 周 围 的 那 些 地 方 ，
那 个 c a l l   e b x 调 用 的 是 V i r t u a l P r o t e c t       参 数 e d i 就 是 他 检 测 的 那 个 地 址 ， 往 下 走 F 7 进 入 到 c a l l   3 0 0 1 0 F A 的 内 部 [ 0 x 3 0 0 0 1 1 3 D ] 保 存 的 是 V i r t u a l P r o t e c t 的 地 址 ， c a l l   e s i     两 次 调 用 这 个 A P I ，
E b x 是 第 一 个 参 数 的 值 ， 给 e a x ， 通 过 下 面 一 个 小 循 环 依 次 把 A P I 前 五 个 字 节 放 到 第 一 个 参 数 的 那 个 地 址 中 ， 然 后 调 用 两 次 V i r t u a l P r o t e c t   然 后 r e t u r n 继 续 单 步 走
下 面 m o v z x       e a x ,   w o r d   p t r   [ e s i ]     后 e a x 值 始 终 是 0 x 3 4 ， 上 面 p u s h   e d i   上 面 那 句 是 x o r   e b x ， e b x       对 e b x 清 零 ， 后 面 有   i n c   e b x   和 c m p e b x ， e a x   很 明 显 我 可 以 得 到 如 果 e b x 小 于 等 于   e a x   就 跳 转 到   3 0 0 1 3 4 E 进 行 判 断 [ e d i + 0 x 1 0 ] 是 否 等 于 0   检 测 开 始 的 情 况 下 他 是 等 于 1 的   所 以 进 入 c a l l   3 0 0 1 2 B 9 到 达 我 们 刚 开 始 下 硬 件 断 点 的 位 置 ， 完 成 一 次 检 测   e b x 就 + 1 ， e d i + 1 4     检 测 的 A P I 的 数 量 一 共 是 0 x 3 4 个 ， [ e d i + 1 0 ] 对 应 每 个 A P I 检 测 的 开 关 ， 这 时 我 们 只 需 把 每 个 [ e d i + 1 0 ] 的 值 写 为 0 就 可 以 过 掉 这 个 游 戏 对 A P I   H O O K 的 检 测 了 。 简 单 点 也 可 以 把 这 个 j e 直 接 改 成 j m p ， 不 过 这 么 做 会 被 游 戏 另 外 一 个 内 存 检 测 检 测 到 ， 这 个 下 篇 文 章 再 讲 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理