win64ast的使用問題

l5741120 · 发表于 2013-9-23 17:22:48

各位好，小弟初發帖，不懂規矩請見諒{:soso_e106:}
單刀直入的說，小弟在研究ce過hackshield的問題，使用的OS是w7x64，循線找到TA發的win64ast
對ce使用protect process的確不會被偵測到...不過ce本身也變成一搜尋就停在那邊，取消搜尋無效，強制中斷蒐尋也無效，
最後不得不開工作管理員直接關閉...請問是正常現象嗎?
我的操作順序是對ce右鍵>protect process>PID及PName設置後保存離開

另外6.3本身會載入一個dkb64的驅動，而hackshield偵測的就是這個...能對驅動做隱藏嗎?

TA前輩最近發表個HideProcessX64，能解決我上述的『可隱藏ce，但ce因此無法使用』的問題嗎?
此外PID還是要依靠WIN64AST查詢?那與直接用WIN64AST做隱藏有何不同?

問題有點多，煩請指點，謝謝

Tesla.Angela · 发表于 2013-9-24 00:18:17

没看明白你要问什么问题。但有几点可以说明。
1.新版WIN64AST已经取消了隐藏进程的功能。HideProcessX64只是把WIN64AST里隐藏进程的代码给移了出来，原理是断开ActiveProcessLinks。这一举动会触发PATCHGUARD。
2.WIN64AST的『保护进程』功能能使『被保护的进程』不被OpenProcess / DuplicateHandle / NtGetNextProcess / NtGetNextThread等函数获得句柄。

l5741120 · 发表于 2013-9-24 13:53:20

本帖最后由 l5741120 于 2013-9-24 14:01 编辑

沒表達清楚抱歉
1)
cheat engine這類的memory scanner被保護後變成無法正常運作是正常現象嗎?若非正常該怎麼處理?
2)
http://tinyurl.com/n7f8qpg 這是一篇類似的文章，Patch guard部分一樣，不同的是後半段多一步驟用cmd執行hidecon.exe，
該文章距發文起碼有一年以上，TA前輩則是這幾天發布的，使用TA發布的HideProcessX64依然需要用cmd執行hidecon.exe這步驟嗎?
3)
hs之類的防駭軟體只檢查ActiveProcessLinks鏈表?會一併檢查Driver嗎?
曾發生關閉ce並重新啟動遊戲卻又被偵測的情況，用win64ast檢查發現遊戲雖然關閉了但驅動還在
推測ce6.3後會加載一名為dkb64.sys的驅動，本應是保護自身不被發現，但現在反而變成被偵測的依據
但不確定這假說是否正確，請前輩指點
若此假說成立，那該如何對應?