Курилка | страница 16 (Elite Games)

Даже если детачнуть эту дллку - работать к примеру клиент игрушки не будет. Тут я сделал пару трюков для антиотладки в качестве примера. (я не говорю уж про memory breakpoint и прочие высшие материи, это так, простенький экзампл без этих сложностей).

Собстно стандартненький наборчик. Небольшая обфускация кода, VMProtect (API), ну и фишка в том, что у нас есть оффсеты нетворка и мы меняем XOR ключи (на сервере например есмь ридер сего тоже, хукнули предположим). Но это так еще, слабовато. Но уже этого достаточно, что бы отсеять множество читеров и ботоводов в stand-alone клиенте игры. Конечно это не полный вариант протекта, так, базисы. Но в продолжении темы защиты от подобного ПО... Гы-гы

Сколько времени уйдет на снятие данной защиты, и самое главное - какие знания под это нужны. Улыбка

А если это все еще скомпилить под х64 архитектуру и накрыть сверху Themida x64 Гы-гы

Вообщем развлекайся Улыбка

Код:

extern g_Protect Protector;
extern g_ProtoDef ProtocolGuard;

#define oXORFilterStart       0x00OFFSETHERE
#define pActiveSocket       *(SOCKET*)(*(DWORD*)0x0OFFSETHERE + 0x0c)
#define oDataRecv_Call       0x0OFFSETHERE
#define pDataRecv          ((void(*)(DWORD Type, LPBYTE Data, int Len, int aIndex)) 0x00OFFSETHERE)

#define JUNK_CODE_ONE \
__asm{push eax} \
__asm{xor eax, eax} \
__asm{setpo al} \
__asm{push edx} \
__asm{xor edx, eax} \
__asm{sal edx, 2} \
__asm{xchg eax, edx} \
__asm{pop edx} \
__asm{or eax, ecx} \
__asm{pop eax}
///-----//

inline int AddSubOne(int One, int Two)
{
JUNK_CODE_ONE
   return ((One + Two) - 1);
}
inline void PushPopSS()
{
__asm
{
   push ss
      pop ss
      mov eax, 9
      xor edx, edx
}
}

extern "C" __declspec (dllexport) void __cdecl EntryPoint()
{
VMBEGIN
#ifdef PROTECT
if( VMProtectIsDebuggerPresent(TRUE) != 0 )
{
   MessageBox(0, "Protect system found debugger, process will be closed", "CheatGuard", ERROR);
   ExitProcess(0);
}
LoadLibrary("lci.dll");
g_ProtoDef.Load();
#endif
CreateThread(NULL,0,(LPTHREAD_START_ROUTINE) g_Protect.AntiDebug,NULL,0,NULL);

VMEND
}

BOOL APIENTRY DllMain( HANDLE hModule, DWORD ul_reason_for_call, LPVOID lpReserved)
{
   switch (ul_reason_for_call)
                  {
                  case DLL_PROCESS_ATTACH:
                  /*
А можно и так, и кстати можно использовать и то и другое вместе.
именно это вызывается при вызове LoadLibraryA
сюда напхать всякого
                  */
AddSubOne(32767, 5723);
PushPopSS();
g_Protect.AntiDebug();
PushPopSS();
                     break;
                  }

return TRUE;
}

void Protector::AntiDebug()
{
unsigned long NtGlobalFlags = 0;
char IsDbgPresent = 0;

__asm {
   mov eax, fs:[30h]
      mov al, [eax + 2h]
      mov IsDbgPresent, al
}

__asm {
   mov eax, fs:[30h]
      mov eax, [eax + 68h]
      mov NtGlobalFlags, eax
}
PushPopSS();
if (IsDbgPresent == 1)
{
   //MessageBox(NULL, "Please close your debugging application and restart the program", "Debugger Found!", 0);
   ExitProcess(0);
}
typedef unsigned long(__stdcall *pfnNtQueryInformationProcess)(IN HANDLE,
   IN unsigned int, OUT PVOID, IN ULONG, OUT PULONG);

// ProcessDebugPort
const int ProcessDbgPort = 7;

// We have to import the function
pfnNtQueryInformationProcess NtQueryInfoProcess = NULL;

// Other Vars
unsigned long Ret;
unsigned long IsRemotePresent = 0;

HMODULE hNtDll = LoadLibrary(TEXT("ntdll.dll"));
if (hNtDll == NULL)
{
   // Handle however.. chances of this failing
   // is essentially 0 however since
   // ntdll.dll is a vital system resource
}

NtQueryInfoProcess = (pfnNtQueryInformationProcess)
   GetProcAddress(hNtDll, "NtQueryInformationProcess");
if (NtQueryInfoProcess == NULL)
{
   //obfuscation part
   PushPopSS();
   auto increment = AddSubOne(567, 234);
   if (increment == 567)
   {
      PushPopSS();
   }
   // Handle however it fits your needs but as before,
   // if this is missing there are some SERIOUS issues with the OS
}

// Time to finally make the call
Ret = NtQueryInfoProcess(GetCurrentProcess(), ProcessDbgPort,
   &IsRemotePresent, sizeof(unsigned long), NULL);
if (Ret == 0x00000000 && IsRemotePresent != 0)
{
   // Debugger is present
   //MessageBox(NULL, "Please close your debugging application and restart the program", "Debugger Found!", 0);
   ExitProcess(0);
}

if (NtGlobalFlags & 0x70)
   // 0x70 = FLG_HEAP_ENABLE_TAIL_CHECK |
   // FLG_HEAP_ENABLE_FREE_CHECK |
   // FLG_HEAP_VALIDATE_PARAMETERS
{
   // Debugger is present
   //MessageBox(NULL, "Please close your debugging application and restart the program", "Debugger Found!", 0);
   ExitProcess(0);
}
PushPopSS();
auto increment = AddSubOne(2334, 67);
if (increment == 344)
{
   PushPopSS();
}
Sleep(10000);
}

//
void ProtocolGuard::Load()
{
VMBEGIN
// ----
ZeroMemory(this->XOR, sizeof(XOR));
this->ChangeXORFilter();
// ----
VMEND
}
// ----------------------------------------------------------------------------------------------

void ProtocolGuard::ChangeXORFilter()
{
VMBEGIN
// ----
this->XOR[0] = 0xf2;
this->XOR[1] = 0xa5;
this->XOR[2] = 0xb4;
this->XOR[3] = 0x85;
this->XOR[4] = 0xf5;
this->XOR[5] = 0xa7;
this->XOR[6] = 0xd9;
this->XOR[7] = 0x38;
this->XOR[8] = 0x92;
this->XOR[9] = 0x01;
this->XOR[10] = 0xee;
this->XOR[11] = 0x11;
this->XOR[12] = 0xd1;
this->XOR[13] = 0x96;
this->XOR[14] = 0xfe;
this->XOR[15] = 0xfa;
this->XOR[16] = 0xa5;
this->XOR[17] = 0xda;
this->XOR[18] = 0x2f;
this->XOR[19] = 0xd1;
this->XOR[20] = 0x44;
this->XOR[21] = 0xf6;
this->XOR[22] = 0x4c;
this->XOR[23] = 0x20;
this->XOR[24] = 0x91;
this->XOR[25] = 0x74;
this->XOR[26] = 0xdc;
this->XOR[27] = 0x1d;
this->XOR[28] = 0x37;
this->XOR[29] = 0xbe;
this->XOR[30] = 0xaf;
this->XOR[31] = 0x6b;
// ----
for( int i = 0; i < 32; i++ )
{
   SetByte((PVOID)((oXORFilterStart + 4 * i) + 3), this->XOR[i]);
}
// ----
VMEND
}