教你QQ华夏inlinehook保护恢复

zjh7272

游戏inlinehook了三个地方   可以用Xuetr 查看到
DbgUiRemoteBreakin
LoadLibraryExW
VirtualProtectEx

第二个直接恢复

第一个恢复后游戏退出,跟踪发现检游戏跳到自身模块后没检测可在游戏jmp直接hook到注入dll模块重写前5字节后再跳回原模块

1. static My_RecoveryHook_NtOpenProcess() {
   
2.         BYTE    JmpAddress[5] = {0xE9,0,0,0,0};
   
3.         p_TpHookAddress = (ULONG)0x7c97211c+5+*(ULONG*)0x7c97211d;
   
4.         ULONG p_MyHookAddress=p_TpHookAddress+0x5;
   
5.         //得使用者的EPROCESS
   
6.         //将使用者的程名保存到str1中   
   
7.         DWORD dwOldProtect,nSize;
   
8.         HANDLE    hObjProcess=0 ;
   
9.         *(ULONG *)(JmpAddress+1)=(ULONG)Nakd_NtOpenProcess - p_MyHookAddress;
   
10.         hObjProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, GetCurrentProcessId());
    
11.         VirtualProtect ((void *)(p_TpHookAddress) , 5, 64, &dwOldProtect);
    
12.         WriteProcessMemory(hObjProcess, (void *)(p_TpHookAddress) , JmpAddress, 5, &nSize);
    
13. }
    
14. 
    
15. static Nakd_NtOpenProcess()
    
16. {
    
17. __asm
    
18.     {
    
19.       push 0x8//恢复原来的5个字
    
20.       push 0x7C972168
    
21.       mov    eax,0x7c972123//跳转地址
    
22.       jmp    eax
    
23.     }
    
24. }

复制代码