过驱动如此简单..和谐快乐

8870188

过DNF主要分为三步，也许我的思路不太正确，反正可以OD调试，下断。

程序没怎么修边幅，因为只是测试，所以一般都没有写更改内核后的恢复，不过不妨碍使用。

第一步，这也是最起码的，你必须要能够打开游戏进程和线程，能够开打进程和线程后不被检测到

第二步，能够读写进程内存

第三步，能够用OD附加游戏进程

第四步，能够下硬件断点而不被检测

跳过NtReadVirtualMemory，NtWriteVirtualMemory函数头的钩子

1. 代码:
   
2. 
   
3. #include<ntddk.h>
   
4. 
   
5. typedef struct _SERVICE_DESCRIPTOR_TABLE
   
6. {
   
7. PVOID
   
8. ServiceTableBase;
   
9. PULONG
   
10. ServiceCounterTableBase;
    
11. ULONG
    
12. NumberOfService;
    
13. ULONG
    
14. ParamTableBase;
    
15. 
    
16. }SERVICE_DESCRIPTOR_TABLE,*PSERVICE_DESCRIPTOR_TABLE; //由于KeServiceDescriptorTable只有一项,这里就简单点了
    
17. 
    
18. extern PSERVICE_DESCRIPTOR_TABLE
    
19. KeServiceDescriptorTable;//KeServiceDescriptorTable为导出函数
    
20. 
    
21. /////////////////////////////////////
    
22. 
    
23. VOID Hook();
    
24. 
    
25. VOID Unhook();
    
26. 
    
27. VOID OnUnload(IN PDRIVER_OBJECT DriverObject);
    
28. 
    
29. //////////////////////////////////////
    
30. 
    
31. ULONG JmpAddress;//跳转到NtOpenProcess里的地址
    
32. 
    
33. ULONG JmpAddress1;//跳转到NtOpenProcess里的地址
    
34. 
    
35. ULONG OldServiceAddress;//原来NtOpenProcess的服务地址
    
36. 
    
37. ULONG OldServiceAddress1;//原来NtOpenProcess的服务地址
    
38. 
    
39. //////////////////////////////////////
    
40. 
    
41. __declspec(naked) NTSTATUS __stdcall MyNtReadVirtualMemory(HANDLE ProcessHandle,
    
42. 
    
43. PVOID BaseAddress,
    
44. 
    
45. PVOID Buffer,
    
46. 
    
47. ULONG NumberOfBytesToRead,
    
48. 
    
49. PULONG NumberOfBytesReaded)
    
50. 
    
51. {

复制代码