打印

[已解决] 此贴附件均携带恶意病毒，等待处理中

黑色星期五该用户已被删除

阁楼大中小发表于 2008-3-17 05:23 只看该作者

此贴附件均携带恶意病毒，等待处理中

此贴附件均携带恶意病毒，等待处理中魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表! }4 I, Z- a% s/ D5 H

. [& D0 t$ W: }5 Q
" u( G% c2 d( n7 n1 V+ j4 R

现在市面上看着的私服都有卖那几个赚钱不要命的人的反外挂系统,内挂什么的—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート6 F. R$ n! A) t Y3 Q2 n) L$ s# B
可是他们卖的价格有点吓人说句不好听的就是黑人一个. 弄的现在好多人都有心开服,想法是好的,可最后的结果呢.

我想不用我说了吧, 今天在这里发一下外挂的原理和方法,希望对你们有所帮助,另外在这贴子里小按一个家,主题就是研究外挂技术,叫他些为要脸,赚钱的,一边去吧,不反对你赚钱,但不要太黑. 不买你的就去攻击人. 这点有点..

好了,话不多说.

引用:

反外挂的原理
2 _% ~# t  D' [我感觉与什么模拟键盘鼠标没有关联下面我来介绍一些反外挂方法以及解决方法% u0 `0 u/ Y7 s6 J4 ?! }
主动防御:魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表$ r0 @  n. L- A0 W8 p
取得外挂内存特征进程名称外挂标题以及外挂的窗口类名外挂向游戏注入DLL的名称外挂对游戏产生的钩子~判断有关游戏用到的系统DLL是否被修改魔力私服,最新魔力宝贝私服技术交流$ k& {5 Y6 _% H4 k' M2 k
魔力私服,最新魔力宝贝私服技术交流$ W) k9 L, N5 S7 A  \
NP注入保护法

他的反外挂方式就是向我们每个进程插入一个DLL 用DLL来判断里面的代码是否危及到游戏~

解决方法就是向我们自己的外挂安装一个DLLHOOK使他的DLL无法插入我们的进程以得到保护
' X4 k1 t9 [, L1 ^, C8 m) \: x6 p1 S/ l3 G0 Y% }
标题保护法妖城在线论坛4 y, B# H" @6 y
bbs.mocwww.com, _0 m8 B. X7 j3 }
游戏判断每个窗口的标题是否附带他规定的关键字眼如果带则判断为外挂妖城在线论坛8 y6 T) a( d* G1 G) d6 E; \

解决方法就是自定一个算法在外挂每次启动时随机标题
! L, |/ I" p. M# F4 R' p5 ?9 Ubbs.mocwww.com' G7 T3 |$ g, B, f& n* ~% W
注入保护法
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート( y$ Y5 h! w! y% `+ `
游戏判断外挂向游戏注入的进程名称~ 这点没必要去修改名称直接在DLL内隐藏进程既可—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート) M1 M, Z# O, I7 R
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート6 n' Y$ `* B, \) V- g$ @6 |
类名保护法7 m4 b5 S4 R2 K
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表5 X( I7 v3 P' V! K$ S0 w  _
现在很多游戏的反外挂已经涉及到对外挂的窗口类名进行判断~例如魔兽就是~只要你的程序窗口类名涉及到他规定的关键字就为外挂不管你是不是这就是大家常见的没有开外挂也被封

内存特征保护法
; t7 L% a1 r% q0 B1 F+ o0 e. Q
7 X9 d. U" r7 J! Z5 w  r游戏的反外挂会取得你的内存特征(就像杀毒软件取得病毒关键代码一样)/ G1 M" q; e7 O+ [! Q
解决方法很多提升你的进程权限使他无法察看你的外挂内存~ 加花到你的关键内存特征处使游戏判断失误等等....

进程名称魔力私服,最新魔力宝贝私服技术交流7 x" [/ U' t% n4 _% a# G2 ?

- m5 D9 F. D, E& i) I这个就很常见了..比如你开起一个名为 "外挂.exe" 那没得说了肯定就封
* ^' u! t7 G  u. Q$ `bbs.mocwww.com—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート+ ~  P8 D6 P3 u' L8 K
解决方法就是将他改位系统进程名称 svchost.exe 或者瑞星 Rising.exe 其他的也可以~(我就用Rising.exe 哈哈魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表" e0 }; l( L# c: ^4 ~- M- n. K/ l- j; [

% o0 L; v' b( e系统DLL判断法
bbs.mocwww.com4 n4 R8 V) |, `
有时候对于游戏的反外挂你要修改系统的一些DLL才可以~~所以游戏就会判断这个DLL是否被修改~从而达到反外挂
7 |1 z9 v5 U) {/ r% q8 k! @) Q
这个我还没有什么解决方法 ~他的判断方式很多大小 CRC 一系列的9 j* F+ I3 t6 I/ _

8 G- X$ N; x8 p# s被动防御:
0 B/ [9 l% g4 K' `' E游戏运行时开启APIHOOK 拦截API信息使API执行无效~ 保护游戏内存使其无法被调试或被调试则出错

0 q% x3 d$ }- F( E8 D- B有关反APIHOOK魔力私服,最新魔力宝贝私服技术交流; p1 k6 W/ j/ B5 y
魔力私服,最新魔力宝贝私服技术交流, _' B& V  w- a& \9 R& ?' z/ E) M' p

介绍下如何反APIHOOK的原理与实现。
  T# t. z" y4 w: E& hbbs.mocwww.com
游戏使用了驱动拦截进程的创建，为每个进程都加入一个DLL文件。这个DLL里会对当前进程中大量的关健API进行HOOK处理。一旦发现该进程调用的API有危害及游戏的进程时就会进行过滤处理。原理上与上节的全局钩子+APIHOOK实现的进程保护差不多。
( s) w1 @: L# Y9 o! \妖城在线论坛
也就是说APIHOOK就是过滤我们对一些特殊的关健API调用。魔力私服,最新魔力宝贝私服技术交流1 T: p4 H) k% V( G
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート0 H: U0 [2 s0 O" `( R& B6 l9 g$ w/ e
为了能实现反APIHOOK功能，我们有必要对APIHOOK这个实现原理有由了解—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート" Y" L8 I- }5 v8 E( Y; t+ C$ M
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート( ~0 b3 Z1 M- v0 Q
什么是APIHOOK？+ p. d; E" q+ f* s& M% U

通过某些手段能够控制住目标进程对某些API功能的调用，我们称为APIHOOK妖城在线论坛. b# i7 @* R5 W3 m

APIHOOK有哪些方式？

常见的HOOK API调用的实现方式有两种。魔力私服,最新魔力宝贝私服技术交流- c  m! }1 c4 H% z" \# L  z

一种是找到该API在内存的入口地址,修改其入口前八字节数据为了一汇编的 jmp xxxxxxxx 无条件跳转指令，使其调用该API时会跳到指定的另一处函数入口处，即与这个API有着相同的参数与返回值的回调处理程序—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート. \- i, Z3 C- M9 t, ~) X* x

第二种是在进程的输入表(IAT表)找到保存在这里的要调用的那个API地址，修改这个地址，使程序在输入表里找该API地址时取的是我们修改后的回调程序入口地址。
妖城在线论坛5 S( Q/ b. A/ G1 o8 n+ \% V
( U6 J& [3 e  G* Y" c' k
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表" `; j- ?* j" I
上面的两种方式，其实第二种不必去考滤，因为程序要调用某个API可以不通过输入表。第一种修改入口前八字节才是最重要的，因为只要程序要调用这个API，必然得从它的入口地址进入。

解决方法魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表: `2 L6 f7 K: y! P( ?
妖城在线论坛  K+ N8 `# o  u$ U/ B: l
在进程创建时就先把一些关健的将要使用的API入口处八字节数据读出保存，然后在每次要调用这些API时，把这原保存的八字节数据都写回去。这样一来，游戏对我们的API入口处拦截就失败了。bbs.mocwww.com4 a0 i3 M! [( M

1 P# `$ o& X; p; O5 d妖城在线论坛但有一点需要注意的，我们的程序必需得在游戏之前运行才可以。如果游戏以我们之前已经运行了的话，就晚了，那时你保存下来的八字节数据早就被游戏动过手脚了的。而且，对于这种被修改过的数据你保存下来后，若该游戏结束运行了时，你还去恢复API入口并调用这些API的话，会出现非法操作的。魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表) `' S4 B4 w3 }
5 f. w; O2 w( h/ L
游戏内存保护法
魔力私服,最新魔力宝贝私服技术交流! `3 i" }0 E  Z. P# i
提升进程权限使得外挂无法编辑游戏的内存以达到反外挂魔力私服,最新魔力宝贝私服技术交流! O+ M6 _3 _: |

或者是你修改了他的内存就报错bbs.mocwww.com# y7 w& F4 F$ {# u% W/ p8 l

这个地解决方法就是利用底层技术(这个我就不详细介绍了,考虑到游戏的平衡)妖城在线论坛6 G9 Y0 H) l. q, T4 d

: L+ }/ Y1 S  h& i0 P- I
bbs.mocwww.com# |2 Z5 M) j4 I4 V' S& T' _
以上内容为转载[论坛不希望看到转载别人文章而不注明的现象]—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート0 r1 L9 ^$ }4 m' A: P8 Q

妖城在线论坛* g+ l7 T( Z1 v( k6 v, \
希望对爱好的,有所帮助,另开研究群,一起研究, 不动手的就不要来了. 另外那边见蝶也别来,不欢迎你.魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表( v5 ?4 N8 A. c6 W2 M; @
另发一个抓封的工具,可以实现很多功能, 压缩密码我QQ 492358666 bbs.mocwww.com2 Y0 p2 E) p% u
在另个好东西, 我想大家很需要他窗口句柄查询如果你想反哪个外挂,就可以先运行一下,然后用他直接把外挂的程序的句柄和一些有用的可以反挂的都搞到手. 最后我在给大家一个工具.HOHO,这东西对付KISS很管用.
魔力私服,最新魔力宝贝私服技术交流7 g4 }5 `+ S* @8 y7 _, t
在说一句他们所谓的封包,其时就是内存挂.只是骗人的一种手法.
只要大家努力,反挂不是难事.  事是无难事,只怕有心人. - -!  老婆囡囡来顶我.HOH

O

QQ交流高级群:24022090
在说个小计巧,那就是现在的YOYO ET 和KISS都要是通过获取句柄来读取的. bbs.mocwww.com* ]8 w7 E% O( k& F0 m2 T
所以只要你搞的定发现查句柄API 就杀掉他. .......

在说个小计巧,那就是现在的YOYO ET 和KISS都要是通过获取句柄来读取的. —魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート; C) q9 O# e' b/ k( b
所以只要你搞的定发现查句柄API 就杀掉他. .......

( ]1 _2 W" g7 K* W
[ 本帖最后由黄昏于 2008-3-17 16:03 编辑 ]

TOP

﹎▓ヾ僤莼べ

星夜

管理员

Rank: 32

UID: 3195
精华: 9
积分: 4243
威望: 2 度
性别: 男

妖城妖将勋章优秀会员勋章抢沙发大王专用勋章灌水天才勋章爱心使者专用勋章

沙发大中小发表于 2008-3-17 05:39 只看该作者

重新编辑为道歉帖=。=||魔力私服,最新魔力宝贝私服技术交流& G. x+ C8 w, C

是我搞错了

妖城在线论坛/ f0 X! L, v. V( U& }! Q: J. \
[ 本帖最后由﹎▓ヾ僤莼べ于 2008-3-17 06:31 编辑 ]

本帖最近评分记录

黄昏妖力 +2 呵呵勇于认错赞以后对别人的指责要慎重 2008-3-17 08:06

酱油师师范..

有事找请联系QQ:296050842,注明来意.

TOP

黑色星期五该用户已被删除

板凳大中小发表于 2008-3-17 05:43 只看该作者

不懂不要乱说, 谢谢.

不喜欢看滚出我这贴子去.
自己去把源码看明白在来说是病毒. 妖城在线论坛$ i( W: y# O- ]& }2 {4 \
现在这类软件被杀软杀是很正常的事,但不代表他是病毒.
不像有些人就会装B 看着好的就收. 然后来去卖钱. 谢谢.

TOP

heixixi

小妖

Rank: 1

UID: 2647
精华: 0
积分: 24
威望: 0 度

地板大中小发表于 2008-3-17 06:23 只看该作者

没什么作用.只要你的服公开了..妖城在线论坛# v1 r. C3 [1 d- O: R" y7 A
就没意义了..这样是防不了的.

TOP

nijiechao

魔力，指拥有神奇魔法和力量

超级版主

Rank: 20

UID: 4545
精华: 4
积分: 4023
威望: 0 度

妖城妖将勋章版主专用勋章优秀会员勋章抢沙发大王专用勋章灌水天才勋章大富翁专用勋章宣传大使专用勋章

地下室 大中小发表于 2008-3-17 06:30 只看该作者

杀软误报..很正常.........通常这类杀软很容易误报的.

TOP

黄昏

管理员

Rank: 32

UID: 3983
精华: 1
积分: 1132
威望: 5 度

妖城妖帅勋章优秀版主专用勋章超级版主专用勋章优秀会员勋章爱心使者专用勋章高尚无私奉献心勋章资深元老勋章

6楼大中小发表于 2008-3-17 07:28 只看该作者

被杀毒软件报为恶意程序—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート, M& u3 t6 U% \1 j
在没有验证之前不建议新手运行妖城在线论坛* D% q6 ?; E1 p% ?7 {4 c5 T" S
请学习思路……
ps：不要吵架谢谢支持~

我累了一晚上了  等吃了早饭帮大家验证一下可好？  bbs.mocwww.com( R" C" b  E9 k) }" ]* Q

—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート/ S0 U5 _3 n9 s; W! H% w* _1 ]. ^/ [8 A

bbs.mocwww.com) v! Z' M; }+ I. P- B' m) `* \
附上道歉帖里我觉得有用的东西  注意：原帖因为违规被我删除了~  再次感谢大家对我工作的支持欢迎大家平常心态讨论问题—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート$ J+ z- K' x' U
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表! ]1 k- N7 F1 d* Q, n
妖城在线论坛# g. X3 Y, z9 L7 ]2 e

[quote]原帖由 itsong 于 2008-3-17 06:59 发表 [url=http://www.mocwww.com/bbs/redirect.php?goto=findpost&pid=55671&ptid=7614][img]http://www.mocwww.com/bbs/
http://www.virustotal.com/zh-cn/, W; @! H) b& t& Z; N0 p; v& j
自己把你的EXE程序扔上去试试就知道了,1,2个杀软会误报,全误报那就不叫误报了.
妖城在线论坛: y9 Y8 [8 L  a1 K8 i* p
附上第3个RAR包里的EXE检测结果魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表& L0 Z6 K' O0 f

文件 MemoryScanerApp.exe 接收于 2008.03.16 23:58:45 (CET)bbs.mocwww.com, f; u, t' B; [" z5 i/ h; v

结果: 27/32 (84.38%)/ A8 l; e* K4 M3 c; [
反病毒引擎版本最后更新扫描结果
AhnLab-V3 2008.3.15.0 2008.03.14 Win32/Alman.C魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表0 j- J/ }2 D3 g3 G) E2 @# e9 O2 T
AntiVir 7.6.0.73 2008.03.16 W32/Almanahe.B
Authentium 4.93.8 2008.03.14 W32/Alman.C妖城在线论坛( n* ~* j4 @! p; }8 X& m% t
Avast 4.7.1098.0 2008.03.16 Win32:Alman-E
AVG 7.5.0.516 2008.03.16 Win32/Alman
BitDefender 7.2 2008.03.16 Win32.Almanahe.D
CAT-QuickHeal 9.50 2008.03.14 W32.Almanahe.B
ClamAV 0.92.1 2008.03.16 W32.Alman-2
DrWeb 4.44.0.09170 2008.03.16 Win32.Alman
eSafe 7.0.15.0 2008.03.09 -
eTrust-Vet 31.3.5616 2008.03.14 Win32/Almanahe.F
Ewido 4.0 2008.03.16 -
F-Prot 4.4.2.54 2008.03.16 W32/Alman.Cbbs.mocwww.com. n+ v4 P1 }  U6 j' j
F-Secure 6.70.13260.0 2008.03.16 W32/Alman.B—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート* ~# e* C9 @8 t
FileAdvisor 1 2008.03.17 -
Fortinet 3.14.0.0 2008.03.16 W32/Alman.B
Ikarus T3.1.1.20 2008.03.16 Virus.Win32.Alman.b( m/ @( ~, k2 Q2 o
Kaspersky 7.0.0.125 2008.03.16 Virus.Win32.Alman.b
McAfee 5252 2008.03.14 W32/Almanahe.c—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート- \  X0 w7 K0 z$ G
Microsoft 1.3301 2008.03.16 Virus:Win32/Almanahe.B
NOD32v2 2950 2008.03.16 Win32/Alman.NAB妖城在线论坛) J+ O5 }& G0 t
Norman 5.80.02 2008.03.14 W32/Alman.B
Panda 9.0.0.4 2008.03.16 W32/Almanahe.C
Prevx1 V2 2008.03.17 -
Rising 20.35.61.00 2008.03.16 Worm.Magistr.g
Sophos 4.27.0 2008.03.16 W32/Alman-C妖城在线论坛: {6 p# w9 v' H3 z! d3 X
Sunbelt 3.0.963.0 2008.03.14 -魔力私服,最新魔力宝贝私服技术交流, O" w( ?. @* a9 U
Symantec 10 2008.03.16 W32.Almanahe.B!inf: J# j( b( L% U, m, q# Q  S3 ~% q
TheHacker 6.2.92.247 2008.03.15 W32/Almanahe.C
VBA32 3.12.6.2 2008.03.16 Trojan-Downloader.Win32.Agent.bsibbs.mocwww.com/ _- O; ]2 f4 I) S& u( Y
VirusBuster 4.3.26:9 2008.03.16 Win32.Alman.B
Webwasher-Gateway 6.6.2 2008.03.16 Win32.Almanahe.C
附加信息
File size: 280064 bytes妖城在线论坛" a$ w' }5 k2 Y1 q3 B' D: E
MD5: 1e8098b59a8f53c240e1d510d0587cdc魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表, x7 k7 W/ |+ K
SHA1: 45c48d246d1dbc3940ca33f263b65f3fbad6dcb6bbs.mocwww.com$ p3 A- ]3 m3 ^4 P! O- D
PEiD: -—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート& _; c0 ?0 `- f0 j' }$ b

魔力私服,最新魔力宝贝私服技术交流: |; T" b0 |5 |+ k2 L+ V( h
嗯嗯再补充一句吧对于可能被杀毒软件报毒的程序主题上最好附上杀毒软件的扫描结果
虽然不用杀毒软件了但是杀毒软件仍然有很多人用……
bbs.mocwww.com* t% B3 A  D( ^2 x! E- A% [
：）  大家多多交流技术  不要因为一点点不愉快印象了心情当花一定的时间努力思索后的大悟是多么美妙的事啊~！

在我今日的悲伤里，最为苦涩的是我昨日欢乐的回忆。