最新 tp的逆向

本文探讨了新版TP相较于旧版的主要技术改进,包括复杂的加载机制、加密驱动代码的使用、母驱动的功能特性及其对调试的影响等。新版本通过隐藏核心代码提高了安全性。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

废话少说,在这里聊聊新tp 与旧tp 的区别

在结构上区别很大,旧版本是直接通过服务接口加载,而新版本是先通过服务接口加载一个母驱动,然后再将经过加密的驱动代码从ring3下载到ring0.

细节方面:

1.母驱动有代码校验功能,双机调试时,任何断点都会导致99999999错误,这个校验函数很容易就能找到。

2.会在好几个地方检测 KdEnteredDebugger 变量,如果发现KdEnteredDebugger不为0,就会进入99999999错误

到此,新版本和旧版本再双机调试方面就没有其他区别了

3..母驱动会开辟数个线程,那些调用子驱动函数的线程不能够被屏蔽,否则会被堵塞。

4.函数调用流程

I

5.清0了 DbgkDebugObjectType  对象的68 6c 70 74 78 (权限)处

6. 个人感觉新版本用的壳对代码的混淆难度要高于旧版本

罗嗦一下:

新版本的技术含量要比旧版本高不少,最大的改进在于把 真正的核心代码隐藏起来了,要达到这个目的必须自己实现代码的重定向(对于高手来说可能比较容易,呵呵,反正我不会)。

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值