LoadLibrary Detect

MeshBenth · 8 Янв 2018

iDReeM написал(а):
для этого надо отдельную функцию писать. ибо моно не стандартная библиотека, браузерка или клиент?

клиент конечно

iDReeM · 8 Янв 2018

приблезительно, там смотреть уже нужно.
стоит сказать что сама идея блока апи тупая, гораздо лучше перехватывать и дампить читы, а потом себе на серв сборки слать и фиксить.

Код:

#include <TlHelp32.h>
#include <psapi.h>
#pragma comment( lib, "psapi.lib")

char* GetModulePatchByName(HANDLE hProcess, char* module_name)
{
    HMODULE hMods[1024];
    DWORD cbNeeded;
    CHAR szModName[MAX_PATH];

    if (K32EnumProcessModules(hProcess, hMods, sizeof(hMods), &cbNeeded))
    {
        for (int i = 0; i < (cbNeeded / sizeof(HMODULE)); i++)
        {
            if (K32GetModuleFileNameExA(hProcess, hMods[i], szModName, sizeof(szModName) / sizeof(TCHAR)))
            {
                if (strstr(szModName, module_name))
                {
                    break;
                }
            }
        }
    }
    return szModName;
}

bool BlockAPI_mono(HANDLE hProcess, char* api_name)
{
    CHAR _asm_ret[] = { 0xC3 };

    char* mono_patch = GetModulePatchByName(hProcess, "mono.dll");
   
    if (mono_patch == NULL)
        return false;

    HMODULE mono_lib = LoadLibraryA(mono_patch);

    if (mono_lib == NULL)
        return false;

    FARPROC func = GetProcAddress(mono_lib, api_name);

    if (func == NULL)
        return false;

    DWORD dwOldProtect = 0;
    VirtualProtectEx(hProcess, reinterpret_cast<LPVOID>(func), sizeof(_asm_ret), PAGE_EXECUTE_READWRITE, &dwOldProtect);
    bool write = WriteProcessMemory(hProcess, reinterpret_cast<LPVOID>(func), reinterpret_cast<LPCVOID>(_asm_ret), sizeof(_asm_ret), 0);
    VirtualProtectEx(hProcess, reinterpret_cast<LPVOID>(func), sizeof(_asm_ret), dwOldProtect, &dwOldProtect);

    return write;
}
int main()
{
    HANDLE hProcess = GetCurrentProcess();

    if (BlockAPI_mono(hProcess, "mono_get_root_domain")
        && BlockAPI_mono(hProcess, "mono_thread_attach")
        && BlockAPI_mono(hProcess, "mono_assembly_open")
        && BlockAPI_mono(hProcess, "mono_assembly_get_image")
        && BlockAPI_mono(hProcess, "mono_class_from_name")
        && BlockAPI_mono(hProcess, "mono_class_get_method_from_name")
        && BlockAPI_mono(hProcess, "mono_runtime_invoke"))
    {
        printf("mono inject fixed!\n");
    }
    else
    {
        printf("no!\n");
    }

    system("pause");
    return 0;
}

Mercury1337 · 8 Янв 2018

iDReeM написал(а):

приблезительно, там смотреть уже нужно.

Код:

#include <TlHelp32.h>
#include <psapi.h>
#pragma comment( lib, "psapi.lib")

char* GetModulePatchByName(HANDLE hProcess, char* module_name)
{
    HMODULE hMods[1024];
    DWORD cbNeeded;
    CHAR szModName[MAX_PATH];

    if (K32EnumProcessModules(hProcess, hMods, sizeof(hMods), &cbNeeded))
    {
        for (int i = 0; i < (cbNeeded / sizeof(HMODULE)); i++)
        {
            if (K32GetModuleFileNameExA(hProcess, hMods[i], szModName, sizeof(szModName) / sizeof(TCHAR)))
            {
                if (strstr(szModName, module_name))
                {
                    break;
                }
            }
        }
    }
    return szModName;
}

bool BlockAPI_mono(HANDLE hProcess, char* api_name)
{
    CHAR _asm_ret[] = { 0xC3 };

    char* mono_patch = GetModulePatchByName(hProcess, "mono.dll");
   
    if (mono_patch == NULL)
        return false;

    HMODULE mono_lib = LoadLibraryA(mono_patch);

    if (mono_lib == NULL)
        return false;

    FARPROC func = GetProcAddress(mono_lib, api_name);

    if (func == NULL)
        return false;

    DWORD dwOldProtect = 0;
    VirtualProtectEx(hProcess, reinterpret_cast<LPVOID>(func), sizeof(_asm_ret), PAGE_EXECUTE_READWRITE, &dwOldProtect);
    bool write = WriteProcessMemory(hProcess, reinterpret_cast<LPVOID>(func), reinterpret_cast<LPCVOID>(_asm_ret), sizeof(_asm_ret), 0);
    VirtualProtectEx(hProcess, reinterpret_cast<LPVOID>(func), sizeof(_asm_ret), dwOldProtect, &dwOldProtect);

    return write;
}
int main()
{
    HANDLE hProcess = GetCurrentProcess();

    if (BlockAPI_mono(hProcess, "mono_get_root_domain")
        && BlockAPI_mono(hProcess, "mono_thread_attach")
        && BlockAPI_mono(hProcess, "mono_assembly_open")
        && BlockAPI_mono(hProcess, "mono_assembly_get_image")
        && BlockAPI_mono(hProcess, "mono_class_from_name")
        && BlockAPI_mono(hProcess, "mono_class_get_method_from_name")
        && BlockAPI_mono(hProcess, "mono_runtime_invoke"))
    {
        printf("mono inject fixed!\n");
    }
    else
    {
        printf("no!\n");
    }

    system("pause");
    return 0;
}

Приблизительно*. Извини, не мог не влезть.

MeshBenth · 8 Янв 2018

iDReeM написал(а):

приблезительно, там смотреть уже нужно.
стоит сказать что сама идея блока апи тупая, гораздо лучше перехватывать и дампить читы, а потом себе на серв сборки слать и фиксить.

Код:

#include <TlHelp32.h>
#include <psapi.h>
#pragma comment( lib, "psapi.lib")

char* GetModulePatchByName(HANDLE hProcess, char* module_name)
{
    HMODULE hMods[1024];
    DWORD cbNeeded;
    CHAR szModName[MAX_PATH];

    if (K32EnumProcessModules(hProcess, hMods, sizeof(hMods), &cbNeeded))
    {
        for (int i = 0; i < (cbNeeded / sizeof(HMODULE)); i++)
        {
            if (K32GetModuleFileNameExA(hProcess, hMods[i], szModName, sizeof(szModName) / sizeof(TCHAR)))
            {
                if (strstr(szModName, module_name))
                {
                    break;
                }
            }
        }
    }
    return szModName;
}

bool BlockAPI_mono(HANDLE hProcess, char* api_name)
{
    CHAR _asm_ret[] = { 0xC3 };

    char* mono_patch = GetModulePatchByName(hProcess, "mono.dll");
  
    if (mono_patch == NULL)
        return false;

    HMODULE mono_lib = LoadLibraryA(mono_patch);

    if (mono_lib == NULL)
        return false;

    FARPROC func = GetProcAddress(mono_lib, api_name);

    if (func == NULL)
        return false;

    DWORD dwOldProtect = 0;
    VirtualProtectEx(hProcess, reinterpret_cast<LPVOID>(func), sizeof(_asm_ret), PAGE_EXECUTE_READWRITE, &dwOldProtect);
    bool write = WriteProcessMemory(hProcess, reinterpret_cast<LPVOID>(func), reinterpret_cast<LPCVOID>(_asm_ret), sizeof(_asm_ret), 0);
    VirtualProtectEx(hProcess, reinterpret_cast<LPVOID>(func), sizeof(_asm_ret), dwOldProtect, &dwOldProtect);

    return write;
}
int main()
{
    HANDLE hProcess = GetCurrentProcess();

    if (BlockAPI_mono(hProcess, "mono_get_root_domain")
        && BlockAPI_mono(hProcess, "mono_thread_attach")
        && BlockAPI_mono(hProcess, "mono_assembly_open")
        && BlockAPI_mono(hProcess, "mono_assembly_get_image")
        && BlockAPI_mono(hProcess, "mono_class_from_name")
        && BlockAPI_mono(hProcess, "mono_class_get_method_from_name")
        && BlockAPI_mono(hProcess, "mono_runtime_invoke"))
    {
        printf("mono inject fixed!\n");
    }
    else
    {
        printf("no!\n");
    }

    system("pause");
    return 0;
}

Дампить я могу - но если указать mono image в чите,то dll уже не дампиться

iDReeM · 8 Янв 2018

sersh написал(а):
Дампить я могу - но если указать mono image в чите,то dll уже не дампиться

да ты просто можешь из кода подписаться на событие загрузки сборки в домен через event, а там уже мосив байт сборки будет готовый)))))) чекать по хешу, цифровой подписи, мета данным. чему угодно. что за игра?

MeshBenth · 8 Янв 2018

iDReeM написал(а):
да ты просто можешь из кода подписаться на событие загрузки сборки в домен через event, а там уже мосив байт сборки будет готовый)))))) чекать по хешу, цифровой подписи, мета данным. чему угодно. что за игра?

rust legacy

iDReeM · 8 Янв 2018

сам екземпол

Код:

using System.Reflection;

//наша функция
static void myAssemblyLoadEventHandler(object sender, AssemblyLoadEventArgs args)
        {
            Assembly loading = args.LoadedAssembly;
            //вот тут можешь разбирать сборку которая
            //грузится в домен, просмотри класс Assembly
        }

Код:

AppDomain dom = AppDomain.CurrentDomain;
            dom.AssemblyLoad += myAssemblyLoadEventHandler;

так моно инжекты палят изи

sersh написал(а):
rust legacy

типо пиратка у тебя? или сервак свой делаешь? можно сборки пропатчить и жить на здоровье. а если лень, навесной античит расписать какой нить простой.

MeshBenth · 8 Янв 2018

iDReeM написал(а):
сам екземпол

Код:

using System.Reflection; //наша функция static void myAssemblyLoadEventHandler(object sender, AssemblyLoadEventArgs args) { Assembly loading = args.LoadedAssembly; //вот тут можешь разбирать сборку которая //грузится в домен, просмотри класс Assembly }

подписка:

Код:

AppDomain dom = AppDomain.CurrentDomain; dom.AssemblyLoad += myAssemblyLoadEventHandler;

так моно инжекты палят изи

типо пиратка у тебя? или сервак свой делаешь? можно сборки пропатчить и жить на здоровье. а если лень, навесной античит расписать какой нить простой.

сервера свой делаю - хочу поднять старую игру и добавить например тех же патрульных нпс например.Но была проблема с обноружением читом - вот кстати код,который прячет dll от дампа

Для просмотра содержимого вам необходимо авторизоваться.

В каком смысле сборки пропатчить?

iDReeM · 8 Янв 2018

sersh написал(а):
сервера свой делаю - хочу поднять старую игру и добавить например тех же патрульных нпс например.Но была проблема с обноружением читом - вот кстати код,который прячет dll от дампа
В каком смысле сборки пропатчить?

в прямом, модифицировать файлы игры, и добавить туда свой код.

MeshBenth · 8 Янв 2018

iDReeM написал(а):
в прямом, модифицировать файлы игры, и добавить туда свой код.

Ну так это я и так делаю - тех же нпс загружаю.
Можешь поделиться информацией как дампнуть такие dll?который с кодом который я скинул

Ну или как загруженную dll превратить в байты из event

iDReeM · 8 Янв 2018

sersh написал(а):
Н
Ну или как загруженную dll превратить в байты из event

Код:

     static void myAssemblyLoadEventHandler(object sender, AssemblyLoadEventArgs args)
        {
            Assembly loading = args.LoadedAssembly;
            //вот тут можешь разбирать сборку
            byte[] buffer = System.IO.File.ReadAllBytes(loading.CodeBase);
        }

MeshBenth · 8 Янв 2018

iDReeM написал(а):

Код:

     static void myAssemblyLoadEventHandler(object sender, AssemblyLoadEventArgs args)
        {
            Assembly loading = args.LoadedAssembly;
            //вот тут можешь разбирать сборку
            byte[] buffer = System.IO.File.ReadAllBytes(loading.CodeBase);
        }

Уже из памяти додумались грузить

iDReeM · 9 Янв 2018

sersh написал(а):
Уже из памяти додумались грузить

дампи сборку. посмотри код SWF Memory Dumper, он как раз для .NET сборок под юнити.

MeshBenth · 9 Янв 2018

iDReeM написал(а):
дампи сборку. посмотри код SWF Memory Dumper, он как раз для .NET сборок под юнити.

спасибо.Извини но лайкать не могу )

MeshBenth · 9 Янв 2018

iDReeM написал(а):
дампи сборку. посмотри код SWF Memory Dumper, он как раз для .NET сборок под юнити.

Кстати тот дампер то же не дампит dll с Monoimage

iDReeM · 9 Янв 2018

sersh написал(а):
Кстати тот дампер то же не дампит dll с Monoimage

ахах) парси через Reflection типы) и листом высылай себе)

если там будет поле функция, или чтото еще, содержащее не нужные тебе слова, допустим хак, валхак, флайхак и так далее, можешь делать выводы.

MeshBenth · 9 Янв 2018

iDReeM написал(а):
ахах) парси через Reflection типы) и листом высылай себе)

если там будет поле функция, или чтото еще, содержащее не нужные тебе слова, допустим хак, валхак, флайхак и так далее, можешь делать выводы.

чет я намутил - при инжекте вообще вылетает :D

public static void Test()
{
AppDomain dom = AppDomain.CurrentDomain;
dom.AssemblyLoad += Dom_AssemblyLoad;
}
private static void Dom_AssemblyLoad(object sender, AssemblyLoadEventArgs args)
{
Assembly loading = args.LoadedAssembly;
byte[] buffer = System.IO.File.ReadAllBytes(loading.CodeBase);
File.WriteAllBytes("D:\\ " + Path.GetRandomFileName() + ".dll", buffer);
UnityEngine.Debug.Log(loading.CodeBase);
UnityEngine.Debug.Log(loading.DefinedTypes);
UnityEngine.Debug.Log(loading.EscapedCodeBase);
UnityEngine.Debug.Log(loading.ExportedTypes);
UnityEngine.Debug.Log(loading.Location);
}

iDReeM · 9 Янв 2018

sersh написал(а):
чет я намутил - при инжекте вообще вылетает :D

public static void Test()

{

AppDomain dom = AppDomain.CurrentDomain;

dom.AssemblyLoad += Dom_AssemblyLoad;

}

private static void Dom_AssemblyLoad(object sender, AssemblyLoadEventArgs args)

{

Assembly loading = args.LoadedAssembly;

byte[] buffer = System.IO.File.ReadAllBytes(loading.CodeBase);

File.WriteAllBytes("D:\\ " + Path.GetRandomFileName() + ".dll", buffer);

UnityEngine.Debug.Log(loading.CodeBase);

UnityEngine.Debug.Log(loading.DefinedTypes);

UnityEngine.Debug.Log(loading.EscapedCodeBase);

UnityEngine.Debug.Log(loading.ExportedTypes);

UnityEngine.Debug.Log(loading.Location);

}

try ... catch, file.exits

MeshBenth · 9 Янв 2018

нашел из за чего - у пути было file:///

Слушай последний вопрос - не подскажешь как это на C# сделать?

Для просмотра содержимого вам необходимо авторизоваться.

В на C# - dll реально не чем не открывается из декомпиляторов

iDReeM · 9 Янв 2018

просто под личный хайд скинь дллку

sersh написал(а):
нашел из за чего - у пути было file:///

Слушай последний вопрос - не подскажешь как это на C# сделать?

В на C# - dll реально не чем не открывается из декомпиляторов

мап файл открывай и читай)