日服巫术online过驱动保护分析（纯工具）（工具+自写驱动）及代码分析,与新手分享。可以申请邀请码吗?

前言：
最近在学外挂编程，基本都是利用CE，OD调试分析游戏数据，但现在游戏公司用各种保护手段防止我们调试游戏，虽然我们有CE,OD这样的利器但是仍然被游戏驱动保护挡在门外i，真可谓巧妇也难为无米之炊啊。
 不得已只好暂停学习各种找CALL技术，先了解下游戏驱动保护的门门道道。经过几天的学习，有所收获，特记录下来，以备日后查询。本贴为纯工具过掉保护，下面将用工具+自写驱动过掉它，算是最近学习驱动编程的一次实践吧，
希望本文对 跟同我一样刚入门的菜鸟有所帮助，欢迎菜鸟一起交流，与君共勉！ 
这次用的游戏是日服目前仍然比较火爆的《巫术online》 记得没学驱动保护之前也分析过这个游戏，但被这个游戏保护搞的蓝屏N次，怀恨在心，这次就拿它开刀，废话不说啦，进入正题：
使用工具：Kernel_Detective_1.4.1 ，XueTr_0.45， 郁金香OD2010，VE修改器汉化版（核心也是CE，原版CE挂上进游戏就出错）
打开游戏后，用OD附加，提示错误。
 
用XueTr看看这个游戏都动了什么手脚吧，让我们的利器都用不上，哼哼。
 
 这个GPP.dll就是游戏的驱动保护文件，万恶啊。。。不过我们不能直接卸载，否则就是蓝屏或者游戏退出。。
看看内核：

 有2个系统回调，在未知模块，很可疑，干掉它。
其他里没有什么异常了，看看内核钩子：
 
果然有hook。。。 ssdt里4个hook，经测试NtAllocateVirtualMemory就是阻止我们OD附加的罪魁祸首。右键恢复一下看看，恢复掉后，OD 可以附加，但游戏直接就掉了。将NtReradVirtualMemory NtWriteVirtualMemory恢复后，游戏也跟着掉了，而且再上就上不去了，只能重启在上。现在这驱动还温和了很多，记得以前版本 一恢复直接就蓝屏了。。。
看看ShadowSSDT

  看来直接恢复是不行的，想想别的办法吧。
具体看一下它是怎么HOOK的吧，在Kernel_Detective的SSDT里找到
NtWriteVirtualMemory，右键反汇编当前地址

  看到以下代码：
jmp 895B6FB0
dec ebp
sub al, 8
js short 805B53CF
jmp dword ptr [ecx+24]
add dword ptr [eax], eax
add byte ptr [ebx+40878AF8], cl
add dword ptr [eax], eax
add byte ptr [eax+758BE045], cl
adc al, 84
Invalid Command
退掉游戏，看看没有HOOK过的代码是怎么样的
push 1C
push 804DAF08
call 8053CBE0
mov eax, dword ptr fs:[124]
mov edi, eax
可以看出 jmp 895B6FB0 这里就跳转到游戏的驱动保护里执行了。但是简单的jmp 0x805B53CC 是不行的，直接就蓝屏了，
在用Kernel_Detective看看别的。

找到可疑的东东，有4个线程在未知模块运行，估计他们就是驱动的监测线程，右键 暂停它们。 
在KD的SSDT里直看到NtQuerySystemInformation这个SSDT HOOK  那些重要的inline hook都看不到，而线程中这些可疑线程，xt也看不到
看来不管怎么的，有什么工具全给它招呼上还是对滴。
现在用xt恢复ssdt和shadow ssdt试试看会发生什么吧。
游戏没有掉，恢复的HOOK，也没有再被HOOK，用OD附近试试看。
 果然可以附加啦！！经测试 VE查找数据，OD下断均没问题，可以继续我们找CALL事业了 HOHO。

注：OD要将StrongOD插件选项里的 Anti Anti_Attach 勾选上，否则挂上游戏仍然退出。