TP 第三处断点清0 寻找方法以及源码
资料仅供学习研究 请勿用于非法或商业用途，本人不负责一切法律责任 转载请注明作者和出处
听说TP第三处清0 能卖钱？ 那我免费给大家好了 本人不是研究DNF的 纯属爱好 以下说言 若有错误 请指出 我必定虚心改正
建议大家用虚拟机调试DNF 因为找这个清0 一定会蓝屏
工具：Syser Debugger 自己的驱动 计算器 PowerToolV4.2
我们先要获取DNF的 EPROCESS EPROCESS获得方法多种多样 我比较喜欢驱动获取 大家可以自行百度找 EPROCESS的获取方法
获取后我们在虚拟机打开 Syser Debugger 按AIT+ F12 写 bpm EPROCESS的值+bc w
有人问为什么要加 bc 因为加bc就等于DebugPort 详细可以参考这个链接http://blog.csdn.net/leitianjun/article/details/6685005
下断后 我们按F5 （bpm是下断） 记录下这个断点的特征码 然后再按 F5 此时可能会重复断在同一个内存地址 如果重复了 继续按F5 直到内存地址不同 然后我们可以看到 另一个断点 这两个断点在以前的许多文章都有介绍 大家都可以去找找 由于新的断点 比较难断下 因此我们先不急着找这个新断点 我们记录下这两个断点的特征码 用网上的办法 定位特征码后 往回找 0xCC
然后写入 RETN 把这两个清0删掉 当然还有一个监控 这个监控找的办法也很简单 虽然网上也有很多介绍 我在这也啰嗦几句 怎么找吧！ 上面的断点断下后 记录断点的内存地址 然后写 bc EPROCESS的值+bc 也就是删除断点 然后写bpm 断点的内存地址 rw 一会就会断下 断下的地址就是监控的地址 杀监控线程的方法和删除清0的方法一样
我们把两处清0和监控用自己写的驱动解决掉后 在来下 bpm EPROCESS的值+bc 这样等几秒就会断下 断下的特征码如下图 注 这个图并非我是自己截的 是一个网友发给我的 因为我忘记了截这个图 
然后我们按 F6 F6是运行到返回 然后按F11 然后就会到这里 F11是单步步入
我们按 F6 然后按F11 再按 F6就会到这里
然后我们按 F11 就会到这里
图片上的 CALL B1EAB080 就是第三处清0 CALL 了 至此找三处清0的过程也完结 剩下的不过是简单的 写入 RETN
第三处清0 原理我自己也说不准 为了不误导大家 我就不说了 希望会有大大说出来
最后 源码奉上 源码比较乱 希望不要介意
注意：上传附件及图片大小不得大于30M。
⚠️ 版权声明：
本博客所有内容（含教程、源码、工具）仅供个人技术学习与研究交流使用，严禁商用、倒卖、二次分发及非法用途。
未经作者书面授权，任何组织或个人不得转载、复制或用于其他平台，违者将追究相关责任。
参与讨论
登录后可查看全部回复并参与讨论。
