.text:010025F0                 jz      short loc_1002622
.text:010025F2                 call    sub_10022A4
.text:010025F7                 call    ds:KdDisableDebugger
.text:010025FD                 push    offset byte_10022EC
.text:01002602                 push    esi
.text:01002603                 push    offset byte_10022DC
.text:01002608                 push    edi
.text:01002609                 push    dword_100CF24

.text:01001665                 mov     al, 0FEh
.text:01001667                 out     64h, al         ; AT Keyboard controller 8042.
.text:01001667                                         ; Resend the last transmission
.text:01001669                 popa
.text:0100166A                 retn

//////////////////////////////////////////////////////////////////////
//  名称:  Nakd_KiAttachProcess
//  功能:  My_RecoveryHook_KiAttachProcess的中继函数
//  参数:  
//  返回:  
//////////////////////////////////////////////////////////////////////
static NAKED VOID  Nakd_KiAttachProcess()
{__asm{mov     edi,edipush    ebpmov     ebp,esppush    ebxpush    esimov    eax,KiAttachProcessAddress  //注意这个是全局变量 BYTE*add    eax,7jmp    eax}
}
//////////////////////////////////////////////////////////////////////
//  名称:  RecoveryHook_KiAttachProcess
//  功能:  解除游戏保护对_KiAttachProcess函数的HOOK(DNF)
//  参数:  
//  返回:  状态
//////////////////////////////////////////////////////////////////////
NTSTATUS My_RecoveryHook_KiAttachProcess()
{BYTE    *KeAttachProcessAddress = NULL;  //KeAttachProcess函数地址BYTE    *p;BYTE    MovEaxAddress[5]  = {0xB8,0,0,0,0};  //BYTE    JmpEax[2]      = {0xff,0xe0};KIRQL    Irql;//特征码BYTE  Signature1 = 0x56,  //p-1Signature2 = 0x57,  //p-2Signature3 = 0x5F,  //p-3Signature4 = 0x5E,  //p+5Signature5 = 0xE8;  //p第一个字节//获得KeAttachProcess地址,然后通过特征码找到//KiAttachProcess的地址KeAttachProcessAddress = (BYTE*)MyGetFunAddress(L"KeAttachProcess");if (KeAttachProcessAddress == NULL){KdPrint(("KeAttachProcess地址获取失败\n"));return  FAILED_TO_OBTAIN_FUNCTION_ADDRESSES;}//将p指向KeAttachProcess函数开始处p = KeAttachProcessAddress;while (1){if ((*(p-1) == Signature1) &&(*(p-2) == Signature2) &&(*(p+5) == Signature3) &&(*(p+6) == Signature4) &&(*p    == Signature5)){//定位成功后取地址KiAttachProcessAddress = *(PULONG)(p+1)+(ULONG)(p+5);break;}//推动指针p++;}//计算中继函数地址*(ULONG *)(MovEaxAddress+1)=(ULONG)Nakd_KiAttachProcess;WPOFF();  //清除CR0//提升IRQL中断级Irql=KeRaiseIrqlToDpcLevel();//写入RtlCopyMemory(KiAttachProcessAddress,MovEaxAddress,5);RtlCopyMemory(KiAttachProcessAddress+5,JmpEax,2);//恢复IrqlKeLowerIrql(Irql);WPON();    //恢复CR0return  STATUS_SUCCESS;
}

//////////////////////////////////////////////////////////////////////
//  名称:  My_RecoveryHook_NtReadAndWriteMemory
//  功能:  解除游戏保护对NtReadVirtualMemory和
//      NtWriteVirtualMemory的HOOK
//  参数:  
//  返回:  
//////////////////////////////////////////////////////////////////////
NTSTATUS My_RecoveryHook_NtReadAndWriteMemory()
{BYTE  Push1Ch[2]  = {0x6a,0x1c};  //0~2字节BYTE  PushAdd[5]  = {0x68,0x12,0x34,0x56,0x78};  //NtReadVirtualMemory[物理机]//BYTE  PushAdd2[5]  = {0x68,0xf0,0x6f,0x4f,0x80};  //NtWriteVirtualMemory[物理机]KIRQL  Irql;BYTE  *NtReadVirtualMemoryAddress    = NULL;  //NtReadVirtualMemory的地址BYTE  *NtWriteVirtualMemoryAddress  = NULL;  //NtWriteVirtualMemory的地址//从SSDT表中获取NtReadVirtualMemory函数地址NtReadVirtualMemoryAddress = (BYTE*)myGetCurrentAddress(0xBA);if (NtReadVirtualMemoryAddress == NULL){KdPrint(("NtReadVirtualMemory函数地址获取失败! \n"));return  FAILED_TO_OBTAIN_FUNCTION_ADDRESSES;}//从SSDT表中获取NtWriteVirtualMemory函数地址NtWriteVirtualMemoryAddress = (BYTE*)myGetCurrentAddress(0x115);if (NtWriteVirtualMemoryAddress == NULL){KdPrint(("NtWriteVirtualMemory函数地址获取失败! \n"));return  FAILED_TO_OBTAIN_FUNCTION_ADDRESSES;}WPOFF();  //清除CR0//提升IRQL中断级Irql=KeRaiseIrqlToDpcLevel();//写入RtlCopyMemory(NtReadVirtualMemoryAddress,Push1Ch,2);RtlCopyMemory(NtReadVirtualMemoryAddress+2,PushAdd,5);RtlCopyMemory(NtWriteVirtualMemoryAddress,Push1Ch,2);RtlCopyMemory(NtWriteVirtualMemoryAddress+2,PushAdd,5);//恢复IrqlKeLowerIrql(Irql);WPON();    //恢复CR0return  STATUS_SUCCESS;
}

//NtOpenProcess用到的全局变量[为了方便堆栈平衡的处理使用全局变量]
PEPROCESS  processEPROCESS = NULL;  //保存访问者的EPROCESS
ANSI_STRING  p_str1,p_str2;      //保存进程名称
BYTE    *ObOpenObjectByPointerAddress  = NULL; //ObOpenObjectByPointer的地址
BYTE    *p_TpHookAddress = NULL;        //TP的HOOK函数地址
BYTE    *p_ReturnAddress = NULL;        //返回到的地址
BYTE    *p_MyHookAddress = NULL;        //我们的HOOK函数在哪写入
#define DNF_EXE  "DNF.exe"  //要检索的进程名
//////////////////////////////////////////////////////////////////////
//  名称:  Nakd_NtOpenProcess
//  功能:  My_RecoveryHook_NtOpenProcess的中继函数
//  参数:  
//  返回:  
//////////////////////////////////////////////////////////////////////
static NAKED VOID  Nakd_NtOpenProcess()
{//获得调用者的EPROCESSprocessEPROCESS = IoGetCurrentProcess();//将调用者的进程名保存到str1中RtlInitAnsiString(&p_str1,(ULONG)processEPROCESS+0x174);//将我们要比对的进程名放入str2RtlInitAnsiString(&p_str2,DNF_EXE);if (RtlCompareString(&p_str1,&p_str2,TRUE) == 0){//说明是DNF进程访问了这里__asm{push    dword ptr [ebp-38h]push    dword ptr [ebp-24h]push  p_ReturnAddressmov    eax,p_TpHookAddressjmp    eax}}else{__asm{push    dword ptr [ebp-38h]push    dword ptr [ebp-24h]push  p_ReturnAddressmov    eax,ObOpenObjectByPointerAddressjmp    eax}}
}//////////////////////////////////////////////////////////////////////
//  名称:  My_RecoveryHook_NtOpenProcess
//  功能:  解除游戏保护对NtOpenProcess的HOOK
//  参数:  
//  返回:  状态
//////////////////////////////////////////////////////////////////////
NTSTATUS My_RecoveryHook_NtOpenProcess()
{BYTE    *NtOpenProcessAddress      = NULL;  //NtOpenProcess的地址BYTE    *p = NULL;      //临时TOP5CODE  *top5code = NULL;  //保存5字节内容BYTE    JmpAddress[6] = {0xE9,0,0,0,0,0x90};KIRQL    Irql;//获取NtOpenProcess的地址NtOpenProcessAddress = (BYTE*)MyGetFunAddress(L"NtOpenProcess");if (NtOpenProcessAddress == NULL){KdPrint(("NtOpenProcess地址获取失败\n"));return  FAILED_TO_OBTAIN_FUNCTION_ADDRESSES;}//获取ObOpenObjectByPointer的地址ObOpenObjectByPointerAddress = (BYTE*)MyGetFunAddress(L"ObOpenObjectByPointer");if (ObOpenObjectByPointerAddress == NULL){KdPrint(("ObOpenObjectByPointer地址获取失败\n"));return  FAILED_TO_OBTAIN_FUNCTION_ADDRESSES;}//将p指向NtOpenProcess函数开始处p = NtOpenProcessAddress;//用一个无限循环来判断给定的特征码来确定被HOOK位置while (1){if ((*(p-7)    == 0x50) && (*(p-0xE)  == 0x56) &&(*(p+0xd)  == 0x50) &&(*(p+0x16)  == 0x3b) &&(*(p+0x17)  == 0xce) &&(*p      == 0xE8) &&(*(p+5)    == 0x8b) &&(*(p+6)    == 0xf8)){KdPrint(("%0X \n",(ULONG)p));break;}//推动指针向前走p++;}//将top5code指向 p 的当前处//用以取出 call [地址] 这5字节里面的地址top5code = (TOP5CODE*)p;p_TpHookAddress = (BYTE*)((ULONG)p+5+top5code->address);//找到我们写入自定义函数的地址p_MyHookAddress = p-6;//保存调用ObOpenObjectByPointer函数以后的返回地址p_ReturnAddress = p+5;//将一条JMP Nakd_NtOpenProcess写入到数组中*(ULONG *)(JmpAddress+1)=(ULONG)Nakd_NtOpenProcess - ((ULONG)p_MyHookAddress+5);WPOFF();  //清除CR0//提升IRQL中断级Irql=KeRaiseIrqlToDpcLevel();//写入RtlCopyMemory(p_MyHookAddress,JmpAddress,6);//恢复IrqlKeLowerIrql(Irql);WPON();    //恢复CR0return  STATUS_SUCCESS;
}

//////////////////////////////////////////////////////////////////////
//  名称:  MyEnumKernelModule
//  功能:  枚举内核模块
//  参数:  str:内核模块名称
//      moduleadd:该模块地址[传出]
//      modulesie:该模块大小[传出]
//  返回:  
//////////////////////////////////////////////////////////////////////
NTSTATUS MyEnumKernelModule(IN CHAR* str,OUT ULONG *moduleadd,OUT ULONG *modulesie)
{NTSTATUS status = STATUS_SUCCESS;ULONG   n       = 0;ULONG   i       = 0;PSYSTEM_MODULE_INFORMATION_ENTRY   module = NULL;PVOID   pbuftmp = NULL;ANSI_STRING    ModuleName1,ModuleName2;BOOLEAN  tlgstst= FALSE;  //如果找到了指定模块则设置为TRUE//利用11号功能枚举内核模块status = ZwQuerySystemInformation(11, &n, 0, &n);//申请内存pbuftmp = ExAllocatePool(NonPagedPool, n);//再次执行,将枚举结果放到指定的内存区域status = ZwQuerySystemInformation(11, pbuftmp, n, NULL);module = (PSYSTEM_MODULE_INFORMATION_ENTRY)((PULONG )pbuftmp + 1 );//初始化字符串 RtlInitAnsiString(&ModuleName1,str);//n       = *((PULONG)pbuftmp );for ( i = 0; i < n; i++ ){RtlInitAnsiString(&ModuleName2,&module[i].ImageName);//DbgPrint("%d\t0x%08X 0x%08X %s\n",module[i].LoadOrderIndex,module[i].Base,module[i].Size,module[i].ImageName);if (RtlCompareString(&ModuleName1,&ModuleName2,TRUE) == 0){DbgPrint("MyEnumKernelModule:%s:%0X \n",ModuleName2.Buffer,module[i].Base);*moduleadd  = module[i].Base;*modulesie  = module[i].Size;tlgstst = TRUE;break;}}ExFreePool(pbuftmp);if tlgstst == FALSE){return  FAILED_TO_OBTAIN_FUNCTION_ADDRESSES;}return status;
}//////////////////////////////////////////////////////////////////////
//  名称:  My_Recovery_Debugport
//  功能:  恢复游戏对debugport的清零操作
//  参数:  
//  返回:  
//////////////////////////////////////////////////////////////////////
NTSTATUS My_Recovery_Debugport()
{NTSTATUS stats;BYTE  *sd1 = NULL,*sd2 = NULL,*pd = NULL;ULONG  ModuleSize,ModuleAddress,i,number = 0;BYTE  *p;KIRQL  Irql;BYTE  C390[2] = {0xc3,0x90};//获取指定的内核模块地址和字节数stats = MyEnumKernelModule("\\??\\c:\\windows\\system32\\tessafe.sys",&ModuleAddress,&ModuleSize);if (stats == FAILED_TO_OBTAIN_FUNCTION_ADDRESSES){return  FAILED_TO_OBTAIN_FUNCTION_ADDRESSES;}KdPrint(("Address:%0X Sie:%d \n",ModuleAddress,ModuleSize));//特征码/*  sd1特征p-1:18 p-2:87 p-3:DB p-4:33 p-5:07 p-6:03 p  :33 p+1:C0 p+7:3B p+8:D8sd2特征p-1:07 p-2:87 p-3:c0 p-4:33 p+14:89p+15:1c p+16:38*///将P指向内核模块开始处p = (BYTE*)ModuleAddress + 20;for (i = 0; i < ModuleSize - 20; i++,p++){//sd1if ((*(p-1) == 0x18) &&(*(p-2) == 0x87) &&(*(p-3) == 0xDB) &&(*(p-4) == 0x33) &&(*(p-5) == 0x07) &&(*(p-6) == 0x03) &&(*p    == 0x33) &&(*(p+1) == 0xC0) &&(*(p+7) == 0x3B) &&(*(p+8) == 0xD8) ){KdPrint(("--SD1 -- %0X \n",(ULONG)p));sd1 = p;number+=1;  //记录已经获取一个特征}//sd2if ((*(p-1) == 0x07) &&(*(p-2) == 0x87) &&(*(p-3) == 0xC0) &&(*(p-4) == 0x33) &&(*(p+14)== 0x89) &&(*(p+15)== 0x1C) &&(*(p+16)== 0x38) &&(*p    == 0xA1)){KdPrint(("--SD2 -- %0X \n",(ULONG)p));sd2 = p;number+=1;  //记录已经获取一个特征}//pdif ((*(p-2) == 0xE3) &&(*(p-3) == 0xC1) &&(*(p-7) == 0xF3) &&(*(p-8) == 0x33) &&(*(p-10)== 0xEB) &&(*(p-11)== 0xC1) &&(*(p+1) == 0xF3) &&(*(p+2) == 0x42) &&(*(p+3) == 0x3B) &&(*(p+4) == 0xD1) &&(*p    == 0x33)){KdPrint(("--PD -- %0X \n",(ULONG)p));pd = p;number+=1;  //记录已经获取一个特征}if (number >= 3){KdPrint(("特征 %d ---退出\n",number));break;}}//首先干掉监视函数while (1){if ((*(pd-1) == 0xcc) && (*(pd-2) == 0xcc)){KdPrint(("pd首地址:%0X \n",(ULONG)pd));WPOFF();  //清除CR0//提升IRQL中断级Irql=KeRaiseIrqlToDpcLevel();//写入RtlCopyMemory(pd,C390,2);//恢复IrqlKeLowerIrql(Irql);WPON();    //恢复CR0break;}pd--;}//干掉2个SDwhile (1){if ((*(sd1-1) == 0xcc) && (*(sd1-2) == 0xcc)){KdPrint(("sd1首地址:%0X \n",(ULONG)sd1));WPOFF();  //清除CR0//提升IRQL中断级Irql=KeRaiseIrqlToDpcLevel();//写入RtlCopyMemory(sd1,C390,2);//恢复IrqlKeLowerIrql(Irql);WPON();    //恢复CR0break;}sd1--;}while (1){if ((*(sd2-1) == 0xcc) && (*(sd2-2) == 0xcc)){KdPrint(("sd2首地址:%0X \n",(ULONG)sd2));WPOFF();  //清除CR0//提升IRQL中断级Irql=KeRaiseIrqlToDpcLevel();//写入RtlCopyMemory(sd2,C390,2);//恢复IrqlKeLowerIrql(Irql);WPON();    //恢复CR0break;}sd2--;}return  STATUS_SUCCESS;
}

//处理硬件断点时
ULONG    uNtSetContextThreadAddress;
ULONG    uNtGetContextThreadAddress;
ULONG    TenNtSetContextThread, TenNtGetContextThread;
//////////////////////////////////////////////////////////////////////
//  名称:  _MyNtGetThreadContext
//  功能:  两个SSDT HOOK伪造函数的中继函数
//  参数:  
//  返回:  
//////////////////////////////////////////////////////////////////////
static NAKED NTSTATUS Nakd_NtGetThreadContext(HANDLE hThread, PCONTEXT pContext)
{__asm{jmp    dword ptr[TenNtGetContextThread]}
}static NAKED NTSTATUS Nakd_NtSetThreadContext(HANDLE hThread, PCONTEXT pContext)
{__asm{jmp    dword ptr[TenNtSetContextThread]}
}
//////////////////////////////////////////////////////////////////////
//  名称:  MyNtGetThreadContext && MyNtSetThreadContext
//  功能:  NtGetThreadContext与NtSetThreadContext函数被SSDT HOOK的伪造函数
//  参数:  
//  返回:  
//////////////////////////////////////////////////////////////////////
NTSTATUS MyNtGetThreadContext(HANDLE hThread, PCONTEXT pContext)
{if ( _stricmp((const char*)PsGetProcessImageFileName(PsGetCurrentProcess()),DNF_EXE) ){return Nakd_NtGetThreadContext(hThread, pContext);}return STATUS_UNSUCCESSFUL;
}NTSTATUS MyNtSetThreadContext(HANDLE hThread, PCONTEXT pContext)
{if ( _stricmp((const char*)PsGetProcessImageFileName(PsGetCurrentProcess()),DNF_EXE) ){return Nakd_NtSetThreadContext(hThread, pContext); }//DbgPrint("Dr7:%08X\n", pContext->Dr7);if ( pContext->Dr7 == 0x101 ){return Nakd_NtSetThreadContext(hThread, pContext); }return STATUS_UNSUCCESSFUL; 
}//////////////////////////////////////////////////////////////////////
//  名称:  My_Recovery_HardwareBreakpoint
//  功能:  通过对set与get进行SSDT HOOK来恢复硬件断点
//  参数:  
//  返回:  
//////////////////////////////////////////////////////////////////////
NTSTATUS My_Recovery_HardwareBreakpoint()
{KIRQL    Irql;//获取地址uNtSetContextThreadAddress = (ULONG)KeServiceDescriptorTable->ServiceTableBase+0xD5 * 4;uNtGetContextThreadAddress = (ULONG)KeServiceDescriptorTable->ServiceTableBase+0x55 * 4;TenNtSetContextThread = *(ULONG*)uNtSetContextThreadAddress;TenNtGetContextThread = *(ULONG*)uNtGetContextThreadAddress;KdPrint(("Set地址:%0X\n",TenNtSetContextThread));KdPrint(("Get地址:%0X\n",TenNtGetContextThread));KdPrint(("Process:%0X \n",(ULONG)p_MyHookAddress));KdPrint(("Thread:%0X \n",(ULONG)t_MyHookAddress));WPOFF();  //清除CR0//提升IRQL中断级Irql=KeRaiseIrqlToDpcLevel();//完成SSDT HOOK*(ULONG*)uNtGetContextThreadAddress = (ULONG)MyNtGetThreadContext;*(ULONG*)uNtSetContextThreadAddress = (ULONG)MyNtSetThreadContext;//恢复IrqlKeLowerIrql(Irql);WPON();    //恢复CR0return STATUS_UNSUCCESSFUL; 
}

//保存5字节代码的结构
#pragma pack(1)
typedef struct _TOP5CODE
{UCHAR  instruction;  //指令ULONG  address;    //地址
}TOP5CODE,*PTOP5CODE;
#pragma pack( )//ssdt表结构
typedef struct _ServiceDescriptorTable {PVOID ServiceTableBase;    //System Service Dispatch Table 的基地址  PVOID ServiceCounterTable;//包含着 SSDT 中每个服务被调用次数的计数器。这个计数器一般由sysenter 更新。 unsigned int NumberOfServices;//由 ServiceTableBase 描述的服务的数目。  PVOID ParamTableBase; //包含每个系统服务参数字节数表的基地址-系统服务参数表 
}*PServiceDescriptorTable;
//由SSDT索引号获取当前函数地址
//NtOpenProcess  [[KeServiceDescriptorTable]+0x7A*4]
extern PServiceDescriptorTable KeServiceDescriptorTable;//////////////////////////////////////////////////////////////////////
//  名称:  MyGetFunAddress
//  功能:  获取函数地址
//  参数:  函数名称字符串指针
//  返回:  函数地址
//////////////////////////////////////////////////////////////////////
ULONG MyGetFunAddress( IN PCWSTR FunctionName)
{UNICODE_STRING UniCodeFunctionName;RtlInitUnicodeString( &UniCodeFunctionName, FunctionName );return (ULONG)MmGetSystemRoutineAddress( &UniCodeFunctionName );   
}//////////////////////////////////////////////////////////////////////
//  名称:  myGetCurrentAddress
//  功能:  获取SSDT表中指定函数的当前地址
//  参数:  index:指定函数在表中的索引号
//  返回:  地址
//////////////////////////////////////////////////////////////////////
ULONG myGetCurrentAddress(IN ULONG index)
{ULONG    SSDT_Cur_Addr;__asm{push  ebxpush  eaxmov    ebx,KeServiceDescriptorTablemov    ebx,[ebx]mov    eax,indexshl    eax,2add    ebx,eaxmov    ebx,[ebx]mov    SSDT_Cur_Addr,ebxpop    eaxpop    ebx}return  SSDT_Cur_Addr;
}VOID WPOFF()
{__asm{climov eax,cr0and eax,not 10000hmov cr0,eax}
}VOID WPON()
{__asm{mov eax,cr0or eax,10000hmov cr0,eaxsti}
}