| PlaneJun's Home

2024鹅厂安全竞赛题解-决赛

2024-01-01 Reverse

一、题目二、分析决赛题目只有一个驱动，pe工具查看加了vmp，直接加载后dump进行分析。 1、注册机由于题目前置条件为防止card.txt到C盘根目录，因此猜测驱动内部为写死路径，因此搜索字符串，找到关键线索。交叉引用到关键位置后发现无法F5，发现存在vmp，但思考后认为题目考察点不会以分析VMP为主，因此猜测，对应函数为读取card.txt内容。因此继续往下分析，具体分析就...

2024鹅厂安全竞赛题解-初赛

2024-01-01 Reverse

hack.exe反调试对hack.exe脱外壳+IAT修复后，进行简单分析，可知存在三种检测反调试（不完全），后边调试dll_shellcode是还发现了有扫字符串。 1、调用NtQueryInformationProcess 扫描进程的DebugPort。 2、清空dr寄存器。 3、隐藏线程 token1 运行hack.exe后，运行调试器附加后发现提...

从零开始分析VAC

2024-01-01 Reverse

一、资料收集国内: CSGO辅助制作思路与VAC保护分析 - -Qfrost- 【CSGO游戏分析】VAC反作弊系统分析 - 哔哩哔哩 (bilibili.com) 国外： How To Bypass VAC Valve Anti Cheat Info (guidedhacking.com) 代码: danielkrupinski/VAC: Source code of Valve ...

CM分析-腾讯面试

2022-08-26 Reverse

一、反调试1、分析程序启动时会对Zw函数进行拷贝到自身内存中，并将内存加密。实现过掉常规API检测。然后对BeginDebug和ForceFlags标志位进行检测，如果根据是否进行调试来设置自定义值。执行到MFC入口后会首先判断Wow64Transition是否被hook。然后对PEB->ProcessHeap->Flags、PEB->ProcessHeap...

2022游戏安全技术竞赛-决赛

2022-04-29 Reverse

PlaneJun ・2022-4-29 15:59 运行效果原程序运行后显示ACE，并且许秒后绘制消失。原题则要求如下：程序分为SYS与EXE，EXE中只有一个与驱动通讯，即运行后让驱动执行绘制。因此着重分析SYS。详细分析很明显将初赛的部分代码通过驱动来写。首先是获取DWM的EPROCESS。然后获取D3DCompile函数地址用作后面修复，获取dxgi.dll后...

2022游戏安全技术竞赛-初赛

2022-04-27 Reverse

运行效果：原程序运行后显示ACE，并且许秒后绘制消失。原题则要求如下：详细分析及实现：首先创建了一个名为”avoid repeat open”的互斥体，保证程序的单例执行。然后开始创建窗口，并初始化D3D设备。随后开始动态获取ZwAllocateVirtualMemory和ZwFreeVirtualMem的函数地址。调用ZwAllocateVirtualMemory...

Tag: CTF