OD体育官方网站(OD SPORTS)全球赔率最高在线投注平台(访问: hash.cyou 领取999USDT）

　　摘要：随着计算机互联网技术的飞速发展，网络游戏得到了很好的发展，它的保护也是日趋完善，几种常见的保护有nProtect GameGuard(NP),hackshield(HS)，让OllyDbg调试器（OD）不能调试，Cheat Engine(CE)不能搜索游戏内存，让人们没法开始逆向它们，本文即在这种背景下为了满足人们的工作需求而设计的。系统以VC6.0应用程序编译器和WIN DDK 3790.1830驱动编译器作为开发工具，以OD调试器提供的静态库,Window Research Kernel(WRK)的源码为基础，HOOKOD进程空间ntdll.dll动态库的KiFastSystemCall()函数，通过我们自己在Windows内核下加的系统服务表，使其当OD调试器调用我们感兴趣的系统调用时，跳到我们自己的系统调用，这样使其成功调用，突破游戏的一般保护，本文以C语言为编程语言，本系统是一个具有实际应用意义的典型系统。

　　1，编写OD应用程序插件，利用OD调试器提供给我们的OLLYDBG.LIB静态库和Plugin.h头文件来编写OD插件，在OD调试器上加个菜单选项用于控制OD调试器是不是启动我们的这种程序机制。比如当我们点BeginHook菜单时，我们的程序就开始工作，HOOK ntdll.dll动态库的KiFastSystemCall()函数，Windows提供给程序员的一般的API，比如Kernel32.dll里的打开进程OpenProcess(),读进程内存ReadVirtualmemory(),写进程内存WriteVirtualMemory()等等API函数，最终的系统调用都会调用这个函数，这时eax是系统调用ID，堆栈里有调用这个系统调用时的各个参数，这样，我们可以改变这些系统调用ID，使其调用我们自己在Windows系统内核添加的系统调用。当我们点CancelHook时，我们的程序就停止工作。

　　3，把微软提供的Windows Reasarch Kernel(WRK)里的dbgk目录下的dbgkobj.c,dbgkport.c,dbgkproc.c,dbgkp.h文件移值到我们的内核驱动工程里来，这几个.c文件是Windows系统调试系统机制的实现，只要我们集成进我们的驱动里来了，以后游戏保护对这些调试机制的一切HOOK与检测，我们可以不用去管它了，相当于OD插件它们用的是我们自己集成的调试系统机制。还有内核线程对EPROCESS结构体的DebugPort清0，我们也可以跳过它。还有就是增加游戏常HOOK的几个关键函数，比如NtOpenProcess(),NtReadVirtualMemory()，NtWriteVirtualMemory()等等，我们自己在Windows内核中实现它，下次OD调试器调用这些函数对游戏进程操作时，都会进入我们自己的这些系统调用，到时想实现什么功能就实现什么功能。

　　4，Windows系统内核下有两种系统服务表KeServiceDescriptorTable和KeServiceDescriptorTableShadow，对于图形界面(GUI)线程,它引用的是KeServiceDescriptorTableShadow这个系统服务表，非GUI线程引用的是KeServiceDescriptorTable系统服务表。对于微软提供的大多数API,内核下都有专门对应的系统调用，比如当我们调用OpenProcess() API函数时，最终会调用系统调用NtOpenProcess()。每一个系统调用ID，在Windows内核下都会对应一个系统调用函数，比如NtOpenProcess的系统调用ID，在Windows Xp 3的系统下ID为122。Windows Xp3系统大概提供了283个系统调用。因此我们自己可以在这两种系统服务表的后面加上我们自己的系统调用函数，对应相应的系统调用ID,这样当OD调试器调用我们感兴趣的系统调用时，我们可以改变系统调用ID,这样就可以进入我们自己实现的系统调用函数。