PP保护2:与调试相关的四个内核函数

看过《软件调试》一书的人都知道这几个内函数的重要性,它们是:NtCreateDebugObject,NtDebugActiveProcess,NtDebugContinue,NtWaitForDebugEvent
这几个函数被PP保护给inline hook,对付的办法是用SSDT对抗,直接跳过函数开头的jmp.
这里有个取巧的办法就是,PP保护inline hook了这四个函数,肯定在它的内存的某个地方,存有这几个函数开头几个字节的代码,直接搜索到它,利用一下。这个地址相对于中断1的偏移是0xbb90:
PP保护2:与调试相关的四个内核函数_第1张图片
为什么要取中断1的地址,是因为这个保护的地址是随机的,所以要找一个方便的地址,定位偏移就行了。
我们的代码这样写,就跳过它的HOOK了:
PP保护2:与调试相关的四个内核函数_第2张图片

你可能感兴趣的:(游戏相关)