Вопрос EAC Как вы обходите HBH

[KVANTOR815]

Всем привет.
В античитах по типу:EAC/BE, используется техника аппаратных точек останова вроде как(HBH).

Вообщем, это когда защита вычисляет адрес подозрительных функций, или функций для анализа, после чего передает этот адрес в DR0 регистр.

Когда процессор видит, что какой-то процесс вызывает эту функцию, она вызывает исключение, потом на себя всю работу принимает VEH-обработчик античита который смотрит и анализирует вызываемые функции, с целью понять для чего они.

Так вот, я увлекаюсь EDR-разработкой, в будущем тоже хочу использовать подобную технику от малвари.

Вопрос к людям которые обходили EAC: Как вы обходили аппаратные точки останова?

Спрашиваю с целью взять обход себе на вооружение.

 

[juKola]

Чтобы появился очередной RUST ANIGOLATOR SUPER за 300 рублей в день с значком УД (поверь мне брат, что это УД)?

Советую самому разбираться

 

[KVANTOR815]

Чтобы появился очередной RUST ANIGOLATOR SUPER за 300 рублей в день с значком УД (поверь мне брат, что это УД)?

Советую самому разбираться

Сам я разобрался, я даже реализовал это

Когда процессор достигнет адреса фцнкции который в dr1, veh обработчик проанализирует параметры функции, особенно r9 регистр где хэндл процесса, если надо просто остановит процесс.

И мне это не для софта, а для перехватывание сискол-вызовов надо.
Я просто в душе не чаю как это можно обойти, спросил чтобы реализовать некую защиту.

 

[Adofyn]

Почистить dr регистры в момент вызова функции?
Поставить свой VEH поверх?

 

[KVANTOR815]

Почистить dr регистры в момент вызова функции?
Поставить свой VEH поверх?

Разве это не предусматривают?

 

[TheXSVV]

Разве это не предусматривают?

люблю это чувство, как его там... гадание

предусматривают, есть такое в ач, нету такого в ач. заревёрси, хули ты тут гадаешь. сделал себе proof-of-concept детекта, так найди его в античите

 

[KVANTOR815]

люблю это чувство, как его там... гадание

предусматривают, есть такое в ач, нету такого в ач. заревёрси, хули ты тут гадаешь. сделал себе proof-of-concept детекта, так найди его в античите

Мне какой то тип в дс объяснил про SetThreadContext, я просто на него хук поставил