过寻仙驱动调试游戏方法

踏雪寻梅

所谓过驱动反调试，说的令人毛孔悚然。什么RET 0 拉 什么驱动层 用户层了
还有那些我超BS的人。自己连发包  都不会的人跟我说什么 他过了。
更搞笑的是 前几天有个人自称卖过TX保护驱动 1000RMB  然后我跟他说了几句话 问我怎么找血量。还叫我小朋友。我操
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
正文。首先NP 和TX 的等等保护都是类似的。
不管他用什么驱动啦。什么东西保护。原理只有1个 HOOK API
这样就不能用调试器了。所以你不必关他用什么方法 。也不用像CBB老师那样说什么看几个月他的反汇编。完全可以KILL 掉他
xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
方法：
1.HOOK 创建进程函数。发现是 tty3d.exe 让他窗口创建时候进程挂起。然后加载好OD 后恢复状态。
{详细：首先TX 的保护是TTY3D.EXE 创建时候运行的。他是写在创建的事件里的。所以有进程时候保护并没有起来用HOOK 不用时间控件是因为时间并不一定每次都好使。
}
2.全局注入后SLEEP 进程，然后恢复你要的函数入口。加载
{详细：不管是驱动保护也好 还是什么也好。他必须有条用驱动的进程
只要SLEEP 了他的TTY3D。EXE 管他什么保护 一样停掉。
恢复后直接加载。OD 加载后就不用管了。因为只是F2 而已。TX 游戏不能下 SEND 断
单步好像不用API 具体我不清楚
注意。如果去恢复API 入口记得要恢复回他的原样，否则会重启 TMD
}
3.直接注入后遍历线程。停掉循环检测线程。恢复保护的API 入口。
{ 这个比较复杂。需要一个一个去试。不过停掉了 。就等于废掉了他的保护检测。
修改后一直用。NP 也是这个方法。不过停掉线程稍微多点
}
4.直接去修改TTY3D.EXE  的主程序。让他不管加载没加载都可以运行。
{
如果你是破解高手那应该是简单的是，可惜我是黑客出身。汇编是门外汉。
从TTY3D.EXE 加载 到弹TX加载失败 不到400句汇编。好像判断了好几处。
我搞不定。如果是高手就共享下。别藏着掖着了。能加CE 还炫耀 等等。。艾
}

附加
OD 加载的几个API
nt!NtOpenProcess+0x135
nt!NtOpenThread+0x14b
nt!KiAttachProcess
nt!NtReadVirtualMemory
nt!NtWriteVirtualMemory