原贴内容: 有一说一完美的保护囊括一下：驱动io通讯在申请的非分页内存中通过 MiniFilter 进行Um-Km的通讯启用进程、线程、模块、注册表、Ob等回调, 监控CsGo进程线程(反注入) 检测DbgView(dbgv.sys)、罗技鼠标宏(Hook IRP_MJ_DEVICE_CONTROL) 判断进程是否包含 \Device\PhysicalMemory 的句柄检测系统线程(遍历线程链表)的附加进程、StartAddress, 检测GsGo用户线程的 Win32StartAddress 检测目标进程模块信息是否存在Iat Hooks以及Damaged PE 检测当前系统内核模块以及其完整性通过插入的Dpc中再插入Apc最终调用RtlWalkFrameChain检测当前线程堆栈内存特征查找检测Dwm、GameOverlayRenderer 通过 KdEnteredDebugger、PsGetProcessDebugPort 等常见手段检测调试通过循环判断PTE.A位来检测内存读写的异常情况(包括判断INT3) 通过循环判断PTE来检测内存实际是否可执行的异常情况通过EPT策略以及时间检测虚拟化启用虚拟化实现EPT HOOKS 反机器码也是Hwid项目中常见的操作还有地方没分析之后再补充？(可能也不会) 而且有意思的是其在Beep.DriverStart + 0x1C的地方隐藏的一个指针

通过插入的Dpc中再插入Apc最终调用RtlWalkFrameChain检测当前线程堆栈为啥要多走一步DPC?我自己写ARK的处理是直接复制栈内存看能不能回潮如果不能直接插APC 我记得processhacker是直接插APC 但是pchr有个问题就是经常堵塞我自己也遇到过给某些线程插APC 这个APC始终不执行就这么卡死在那多走一步DPC是让DPC结束以后APC立刻交付这样么?

通过循环判断PTE.A位来检测内存读写的异常情况(包括判断INT3) 这个int3是怎么判断怕他修改cc然后注册veh这样HOOK么感觉也不像啊

MOVRAX214D 是的, 你想的不错

MOVRAX214D 针对短时间反复访问的内存，然后判断0xCC还有其他可疑字节

LincolnXander 可以可以很吊的帖子下次来ACE🤣🤣

还有内存蜜罐啊，涨知识了

非常好的帖子楼主继续更新

最近无聊分析了完美驱动部分的功能

正在加载…

加载论坛时出错，请强制刷新页面重试。