针对某游戏保护DebugPort清零的一次逆向

1、针对某游戏保护debugport 清零的一次逆向学习各种外挂制作技术， 马上去百度搜索魔鬼作坊 点击第一个站进入、快速成为做挂达人。第一次发帖。 lz 很菜的哦。大牛请忽略本帖。首先还是先了解一下debugport 吧，百度之后得到了如下结果-此处转贴 -每个进程都有一个数据结构，eprocess， 这个结构是在内核里面的，系统用来标识和管理每一个win 进程的基本数据结构.这个结构中包含了一个重要的字段,debugport, 如果一个进程不在被调试的时候那么就是null,否则他是一个指针，win 前, 这个成员保存的是用于接收调试事件的lpc端口对象指针 . 发生调试时, 系统会向这个端口发

2、送调试信息.winxp 下因为使用了专门用于调试的内核对象debugobject, 所以debugport指向的是一个debugobject对象, 不管是指向lpc端口还是指向调试对象 , 虽然类似不同吧 但是他们的作用都是用来传递调试事件的, 所以debugport中指向的对象， 我们就叫做调试端口张奎银大牛，告诉了我们，这个端口是链接调试器进程和被调试进程的纽带被调试程序的事件由这个端口发送到调试器进程的。（so, 某些产品 , 为了不被调试就一直对这个字段写入0, 导致调试事件无法发送 , 造成了调试器像傻子一样 ）-调试内核，最先想到的肯定是windbg, 于是lz 碰到了第一个问题，

3、那个t 什么的保护禁止了双机调试。下面给出过掉防止双机调试的方法。kdcom.dll:kdreceivepacket/ 这两个是com 串口的接受和发送数据kdcom.dll:kdsendpacket/ 主要用来方式别人双机调试上面两个函数几乎可以忽略掉，virtualkd这个工具自己实现了com 通信替代了上面两个函数。然后是。 。是。 。kddisabledebugger，ok过掉对这个函数的调用应该就可以进行双机调试了。启动虚拟机调试模式， windbg对 kddisabledebugger下断点，然后运行游戏。发现游戏登陆之前windbg 就已经断下来了， eb 指令对kddisabl

4、edebugger第一行代码写入c3(ret)然后 f8单步执行找到调用kddisabledebugger处仔细看代码不难发现这是一段循环调用kddisabledebugger的代码。 eb 对上图中edcaa6d5出写入74过掉此处f5跑起来会再次断下来，单步执行返回到另一处调用尾部 movdword ptrecx,eax这句很关键，不能让他执行，一旦执行windbg 就失去通信了对上图中edcaa803位置写入 75然后f5跑起来再次断下来发现调用位置还是上面这里。修改 call eax上面那行也就是edcaa7c4位置写入 75再次跑起来就不会再断下来了游戏正常运行。但是游戏登陆以后，保

5、护会出现错误重新加载一次保护，然后按照上面的方法重新过一次就可以了。接下来就等游戏跑起来以后windbg 手动断下来，命令行键入 !process0 0回车得到当前所有进程的eprocess 对象地址注意这里完成后要让虚拟机尽快跑起来，中断久了游戏会和服务器断开连接。好了会找到两个游戏进程，接下来虚拟机里面打开任务管理器，查看当前游戏的进程id 转换16进制转换后就是上面获取到的cid:0370然后对 process 85f5d228这个地址 +bc 处下数据写入断点， +bc就是 debugport 地址了指令ba w 485f5d228+bc/ba指令格式 ba accesssize 地址access 为访问方式size 为监控访问位置大小然后跑起来，立马就会断下来，这里注意多跑几次，有两个地方做了清零如下图第一处：第二处：xorecx,ecxxchgecx,dwordptreax还有。 。xoreax,eaxxchgea