驱动相关：过名将三国驱动保护（XP sp2系统下通过）

一个人的舞台

(只限技术交流)

1. 
   
2. (只限技术交流)[code]
   
3.        
   
4. #include<ntddk.h>
   
5. #include<windef.h>
   
6. 
   
7. typedef struct _SERVICE_DESCRIPTOR_TABLE
   
8. {
   
9. unsigned int *ServiceTableBase;
   
10. unsigned int *ServiceCounterTableBase;
    
11. unsigned int NumberTableBase;
    
12. unsigned char *ParamTableBase;
    
13. }SERVICE_DESCRIPTOR_TABLE,*PSERVICE_DESCRIPTOR_TABLE;
    
14.        
    
15. extern PSERVICE_DESCRIPTOR_TABLEKeServiceDescriptorTable;
    
16.        
    
17. typedef NTSTATUS (*REALZWOPENPROCESS)
    
18.    (
    
19. OUT PHANDLE ProcessHandle,
    
20. IN ACCESS_MASK AccessMask,
    
21. IN POBJECT_ATTRIBUTES ObjectAttributes,
    
22. IN PCLIENT_ID ClientId);
    
23. 
    
24. typedef NTSTATUS (*READVIRTUALMEMORY)(
    
25.      IN HANDLE ProcessHandle,
    
26.      IN PVOID BaseAddress,
    
27.       OUT PVOID Buffer,
    
28.       N ULONG BufferLength,
    
29.      OUT PULONG ReturnLength OPTIONAL);          
    
30. 
    
31. typedef NTSTATUS (*WRITEVIRTUALMEMORY)(
    
32. IN HANDLE ProcessHandle,
    
33. IN PVOID BaseAddress,
    
34. IN PVOID Buffer,
    
35. IN ULONG BufferLength,
    
36. OUT PULONG ReturnLength OPTIONAL
    
37. );
    
38. 
    
39. 
    
40. REALZWOPENPROCESSRealZwOpenProcess;
    
41. READVIRTUALMEMORYRealNtReadVirtualMemory;
    
42. WRITEVIRTUALMEMORY RealNtWriteVirtualMemory;
    
43. //***************************************************************************
    
44. VOID Hook();
    
45. VOID Unhook();
    
46. VOID OnUnload(IN PDRIVER_OBJECT DriverObject);
    
47. NTSTATUS rc;
    
48. //NTSTATUS rc1;
    
49. //NTSTATUS rc2;
    
50. DWORD bix,tiao;
    
51. //////////////////////////////////////
    
52. ULONG JmpAddress;//跳转到NtOpenProcess里的地址  
    
53. ULONG JmpAddress1;
    
54. ULONG JmpAddress2;
    
55. ULONG OldServiceAddress;//原来NtOpenProcess的服务地址  
    
56. ULONG OldServiceAddress1;
    
57. ULONG OldServiceAddress2;
    
58. //////////////////////////////////////
    
59. 
    
60. __declspec(naked) NTSTATUS __stdcall MyNtOpenProcess(PHANDLE ProcessHandle,
    
61. ACCESS_MASK DesiredAccess,
    
62. POBJECT_ATTRIBUTES ObjectAttributes,
    
63. PCLIENT_ID ClientId)
    
64. {
    
65. 
    
66. //RealZwOpenProcess=(REALZWOPENPROCESS)OldServiceAddress;
    
67. 
    
68. //rc = (NTSTATUS)(REALZWOPENPROCESS)RealZwOpenProcess( ProcessHandle, DesiredAccess, ObjectAttributes, Client
    
69. Id );
    
70. 
    
71. __asm{
    
72. 
    
73. push0C4h
    
74. push804daab0h//共十个字节  
    
75. mov eax,80538d00h
    
76. call eax
    
77. jmp [JmpAddress]
    
78. }
    
79. }
    
80. 
    
81. __declspec(naked) NTSTATUS __stdcall MyNtReadVirtualMemory(
    
82. IN HANDLE ProcessHandle,
    
83. IN PVOID BaseAddress,
    
84. OUT PVOID Buffer,
    
85. IN ULONG BufferLength,
    
86. OUT PULONG ReturnLength OPTIONAL)  
    
87. {
    
88. 
    
89. //RealNtReadVirtualMemory=(READVIRTUALMEMORY)OldServiceAddress1;
    
90. //rc1 = (NTSTATUS)(READVIRTUALMEMORY)RealNtReadVirtualMemory( ProcessHandle, BaseAddress, Buffer, BufferLength,ReturnLength);
    
91. 
    
92. 
    
93. __asm{
    
94. push1Ch
    
95. push804da4e0h//共十个字节  
    
96. mov eax,80538d00h
    
97. call eax
    
98. jmp [JmpAddress1]
    
99. }
    
100. 
     
101. }
     
102. 
     
103. 
     
104. 
     
105. __declspec(naked) NTSTATUS __stdcall MyNtWriteVirtualMemory(
     
106. IN HANDLE ProcessHandle,
     
107. IN PVOID BaseAddress,
     
108. OUT PVOID Buffer,
     
109. IN ULONG BufferLength,
     
110. OUT PULONG ReturnLength OPTIONAL)
     
111. 
     
112. {
     
113. 
     
114. 
     
115. //RealNtWriteVirtualMemory=(WRITEVIRTUALMEMORY)OldServiceAddress2;
     
116. //rc2=(NTSTATUS)(WRITEVIRTUALMEMORY)RealNtWriteVirtualMemory(ProcessHandle, BaseAddress, Buffer, BufferLen
     
117. gth,ReturnLength);
     
118. 
     
119. 
     
120. __asm{
     
121. push1Ch
     
122. push804da4f8h//共十个字节  
     
123. mov eax,80538d00h
     
124. call eax
     
125. jmp [JmpAddress2]
     
126. }
     
127.   
     
128. 
     
129. }
     
130. 
     
131. 
     
132. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject,PUNICODE_STRING RegistryPath)
     
133. {
     
134. DriverObject->DriverUnload = OnUnload;
     
135. DbgPrint("Unhooker load");
     
136. Hook();
     
137. return STATUS_SUCCESS;
     
138. }
     
139. 
     
140. /////////////////////////////////////////////////////
     
141. VOID OnUnload(IN PDRIVER_OBJECT DriverObject)
     
142. {
     
143. DbgPrint("Unhooker unload!");
     
144. Unhook();
     
145. }
     
146. /////////////////////////////////////////////////////
     
147. 
     
148. VOID Hook()
     
149. {
     
150. ULONG Address;
     
151. ULONG Address1;
     
152. ULONG Address2;
     
153. Address=(ULONG)KeServiceDescriptorTable->ServiceTableBase+0x7A*4;
     
154. Address1=(ULONG)KeServiceDescriptorTable->ServiceTableBase+0x0ba*4;
     
155. Address2=(ULONG)KeServiceDescriptorTable->ServiceTableBase+0x115*4;
     
156. DbgPrint("Address:0x%08X",Address);
     
157. DbgPrint("Address1:0x%08X",Address1);
     
158. DbgPrint("Address2:0x%08X",Address2);
     
159. 
     
160. OldServiceAddress=*(ULONG*)Address;
     
161. OldServiceAddress1=*(ULONG*)Address1;
     
162. OldServiceAddress2=*(ULONG*)Address2;
     
163. RealZwOpenProcess=(REALZWOPENPROCESS)OldServiceAddress;
     
164. DbgPrint("OldServiceAddress:0x%08X",OldServiceAddress);
     
165. DbgPrint("OldServiceAddress1:0x%08X",OldServiceAddress1);
     
166. DbgPrint("OldServiceAddress2:0x%08X",OldServiceAddress2);
     
167. 
     
168. JmpAddress=OldServiceAddress+15;
     
169. JmpAddress1=OldServiceAddress1+12;
     
170. JmpAddress2=OldServiceAddress2+12;
     
171. //JmpAddress=2153521239;
     
172. DbgPrint("JmpAddress:0x%08X",JmpAddress);
     
173. DbgPrint("JmpAddress1:0x%08X",JmpAddress1);
     
174. DbgPrint("JmpAddress2:0x%08X",JmpAddress2);
     
175. __asm{//去掉内存保护  
     
176. cli
     
177. moveax,cr0
     
178. andeax,not 10000h
     
179. movcr0,eax
     
180. }
     
181. 
     
182. 
     
183. *((ULONG*)Address) = (ULONG)MyNtOpenProcess;//HOOK SSDT
     
184. *((ULONG*)Address1) = (ULONG)MyNtReadVirtualMemory;
     
185. *((ULONG*)Address2) = (ULONG)MyNtWriteVirtualMemory;
     
186. __asm{//恢复内存保护  
     
187. moveax,cr0
     
188. or eax,10000h
     
189. movcr0,eax
     
190. sti
     
191. }
     
192. 
     
193. }
     
194. 
     
195. 
     
196. VOID Unhook()
     
197. {
     
198. ULONGAddress;
     
199. ULONGAddress1;
     
200. ULONGAddress2;
     
201. Address = (ULONG)KeServiceDescriptorTable->ServiceTableBase + 0x7A * 4;//查找SSDT  
     
202. Address1=(ULONG)KeServiceDescriptorTable->ServiceTableBase+0x0ba*4;
     
203. Address2=(ULONG)KeServiceDescriptorTable->ServiceTableBase+0x115*4;
     
204. 
     
205. __asm{
     
206. cli
     
207. moveax,cr0
     
208. andeax,not 10000h
     
209. movcr0,eax
     
210. }
     
211. 
     
212. *((ULONG*)Address) = (ULONG)OldServiceAddress;//还原SSDT  
     
213. *((ULONG*)Address1) = (ULONG)OldServiceAddress1;
     
214. *((ULONG*)Address2) = (ULONG)OldServiceAddress2;
     
215. __asm{
     
216. moveax,cr0
     
217. or eax,10000h
     
218. movcr0,eax
     
219. sti
     
220. }
     
221. 
     
222. DbgPrint("Unhook");
     
223. }
     
224. 
     

复制代码

[/code]

魔鬼的马桶

看不明白....能解释一下吗？

zst1314

这写的什么啊- -

qq56705857

不是送新人的啊

add3to6

这也能过TX，扯淡~

zst1314

- -，我的OD直接能过名三

haijiaohaijiao

0000000000000000000000

liuyh7788

谢谢楼主，正在找这个，真的太谢谢啦

gf426hg

{2024年04月25日}朝鲜突然攻击韩国，动用核武器，引发全球崩盘？？





作者：劳山倒

时间：2024年04月25日07:57:06    星期四   农历三月十七

上证综指 3044.82点    恒指 17201.27点    道指 38460.92点

4月25日，朝鲜人民革命军创建日；崇祯帝朱由检去世；世界疟疾日







01

据朝鲜官媒朝中社星期二（2024年4月23日）报道，朝鲜在领导人金

正恩的指导下进行了首次“核反击假想综合战术训练”，以模拟其

国家核武器综合管理体系“核扳机”的训练，“向敌人发出明确警

告信号”。{美国之音}





02

金正恩接见赵乐际。

据朝中社4月14日报道，朝鲜国务委员会委员长金正恩（右）13日在

朝鲜劳动党中央委员会总部大楼接见中国全国人大常委会委员长赵

乐际。双方就以“朝中友好年”为契机扩大并加强双方交流合作，

发展两国友好合作关系的方案交换意见。 韩联社/朝中社。





03

有报道，金正恩2024年04月20日突然乘飞机秘密访问北京。

{有视频为证，王沪宁蔡奇接机}

注意，突然，乘飞机，金正恩一般访问中国，是乘火车。肯定有重

大事件。

注意，2022年02月04日普京访华，20天后，02月24日，普京发动俄

乌战争。



普京在发动乌克兰战争前曾专门访问北京，并与习近平签署了一系

列号称“上不封顶”的合作文件。

中俄两国在面对美国和西方抵制时背靠背抱团取暖的意图十分明显。

{路透社}

2022年02月24日，在经历一段时间的军事危机后，俄罗斯在当天对

乌克兰发动全面入侵。{维基百科}

2022年02月04日，俄罗斯总统普京访华并出席北京冬奥会开幕式，

国家主席习近平同普京举行会晤。访问期间，双方有关部门和企业

签署了以下合作文件：…… {中国外交部}

…… 普钦计画在12小时取得制空；36小时摧毁乌克兰军方通讯；

48小时包围基辅并让泽伦斯基（Volodymyr Zelensky）政府流亡；

72小时建立亲俄傀儡政府。普钦设定在3月2日前取得全面胜利，乌

克兰民众将上街头向俄军献花。{台湾，国防安全双周报，欧锡富}





04

《美国被曝正起草可能切断中国一些银行与全球金融体系联系的制

    裁措施 外交部回应》

2024年04月23日 16:13 来源： 财联社

外交部发言人汪文斌主持例行记者会。汪文斌回应美国被曝正起草

可能切断中国一些银行与全球金融体系联系的制裁措施时表示，我

们坚决反对美方自己拱火浇油，却对中方甩锅推责的这种虚伪做法。

中国同包括俄罗斯在内的各国开展正常经贸往来的权利不容侵犯，

我们将坚定捍卫自身的合法权益。今日记者会重要内容如下：

…… ……





05

本人判断，2024年04月，或者05月，金正恩可能突然进攻韩国，使

用核弹，或者引爆核弹，最起码也是进行核试验。

本人判断，核弹的引爆，无论普京核弹、以色列伊朗巴勒斯坦核弹，

还是金三胖核弹，还是习近平引爆核弹闪击台湾？？将引发，全球

金融市场大崩盘，地球崩盘，史无前例18级金融大地震，金融溃坝，

突然一泻千里。

还要关注，美国把中国一些银行踢出SWIFT国际货币结算系统，引发

新一轮贸易战，全球贸易战。

本人判断，一切，都是暗黑帝国，蓄谋已久的计划、算计，是总冲

顶之间的总洗盘，最大假摔黄金坑。

哪有什么突发意外谁都没想到？？一切，都是蓄谋已久的精心策划。

精心策划的，陷阱。

又一次剪羊毛开始了。

风火暴戾2024，天象为证。长这么大，第一次听说大风把人从被窝

里吹下楼遇难的，3月31日南昌。

本人判断，标志着，第三次世界大战正式爆发，以金融战争为表现

形式的第三次世界大战；引爆核弹，是撒旦的恐吓威慑，并不存在，

核大战引发人类毁灭。因为，这不符合，暗黑帝国利益。



无论如何，暂时关闭股市、金融市场六个月以上，都是最佳应对方

法。

也是，唯一有效的应对方法。全球各国通用。大家冷静一下，思考

一下，不要被魔鬼驱赶着慌不择路。

牛顿：我能计算出天体运行的轨迹,却难以预料到人性的疯狂。

是不是真的，天要塌了？？先放一放，大家、全球关闭股市，去看

巴黎奥运会。该死求朝上，人，总要死的。

越有钱，越怕死。中国，“月收入2000元以下人口约9.64亿”，

“6亿人月的收入也就1000元左右”，5.6亿人零存款。2022年有8亿

人负债，其中包括4亿房奴，人均负债14.285万元，总负债超过200

万亿元。

M2三月末突破300万亿元达到304.8万亿元。





06

对中国而言，最重要的事情，是立刻放光三峡大坝的393亿立方米

的死亡之水，在2024三峡大坝突然彻底崩溃之前，其它一切，都

是小事情。

意料之外，情理之中的，三峡溃坝。



对中国而言，最重要的事情，是立刻放光三峡大坝的393亿立方米

的死亡之水，在2024三峡大坝突然彻底崩溃之前，其它一切，都是

小事情。

意料之外，情理之中的，三峡溃坝。

英明伟大正确的共产党，这个党，风调雨顺的1960年，饿死了中国

3000万人。



最危险的时候到了，吹响哨子吧，日夜不息。

最危险的时候到了，吹响哨子吧，日夜不息！！





==============