[原创][讨论]谈谈近日对TP的分析
开头先总结几句：1.只要是额外的保护，总会有代码卸载。
2.最好用早期系统，而结合新起的KD和符号文件来分析。
3.本文不涉及商业秘密和价值，仅用于研究。
据上次分析以来TP更新了几万次了，但实力还是那样的...不改变。
第一步：上游戏;TP先是禁用双机，
看得出KiAttach没有了，多了个susped(还好停得下游戏，记得以前有检测，通信相隔太久会被黑，见得鬼多就不怕了。)
然后随便找一处HOOK反来看，这里说说其他的，TP有块区域存放保护程序的EPROCESS，而且像是链表。
mov eax,[xxx] lea esi,[eax-0xDB] 'EPRCOESS:I'm here
值得欣赏的地方：TP写得很工整，像貌似卸载工作就是由析构函数完成的。其实TP挺好分析的原因，就是所有子程序都连在一起，上下都有不少关键函数只是需要一个参，功力不够非内核函数逆不好；其中有恢复hook的，查找cli,sti便能发现。
关键来了，TP给了我们一个很好的接口去卸载—CreateProcessNotify，这个回调没有分析真假；并把R3进程的DriverHandle关掉(//./TesSafe有两个)，TP就稳定地退了。这里为什么不深入讲直接恢复hook的函数呢?还是稳定起见，蓝瓶的~~
Notify往下会有一处函数，接近末尾可以找到这个
mov al, FE
out 64, al //不止这里，和以前一样每处hook下面都有，
现在远了好多且均以标准5字节开头，都ret掉就不黑了。
声明一下：这里围绕"欺骗"，而不是杀检测之类的，断个访问或挂个钩也可以，只是斯文人不该用这么暴力的。
不过游戏弹框了，KD的定时器对象很好用，提前摘掉游戏的定时器就没事了(这KD很强大能发现R3的)，然后可以收工了。这里有个想法 不知道重载TesSafe并让句柄指向的新的驱动会怎么样。
最后有份获取TP回调的cpp，代码太乱了还没完成，应该用类来管理。
相信很快就会打上补丁的了，不过在系统同一层 TX做的这些都是无用功(解除TP保护方法我还有不少...)，学学网易那多好啊。
