Медоты внедрения DLL.

[elvis66666]

Какой по вашему мнению самый безопасный/беспалевный метод внедрения своего кода в процесс?

Я буквально на постоянной основе использую метод ProxyDLL , но стало скучно и я задался идеей изучить другие способы,

написать свой Injector. Подбросьте пищи для мозгов  Или возможно есть в загашнике какие-то интересные статьи по этому вопросу!

[partoftheworlD]

Manual Mapping я думаю.

О еще можно PE заголовок затереть у dll.

Про вак расскажу это не связано с инжектом, но может придумаешь что-нибудь.

 

Запускать чит экстернал из контейнера TrueCrypt и подобных ему, которые после нахождения процесса отключают. Т.е чит есть в памяти, но физически его уже нет на диске. И VAC не может получить хеш чита, чтобы добавить в базу даже после сканирования и менять хеш при перезапуске чита. После таких манипуляций, я играл в кс го с самописным приватным читом около 1.5 года и без бана. Сейчас на аккаунте 2000 часов уже и до сих пор не забанило. .

 

 Вак запускается вместе со Steam используя для инжекта вак модуля manual mapping или load library(в основном manual mapping) недавно ковырял это все и дампил вак модуль. FaceIT не детектит читы, которые инжектятся с помощью manual mapping.

Изменено 16 октября, 2016 пользователем partoftheworlD

[gmz]

1 час назад, elvis66666 сказал:

Какой по вашему мнению самый безопасный/беспалевный метод внедрения своего кода в процесс?

шеллкод или свой pe loader или NtSuspendProcess + LoadLibrary + Hide PEB + NtResumeProcess (последний вариант только в легких случаях)

1 час назад, elvis66666 сказал:

Или возможно есть в загашнике какие-то интересные статьи по этому вопросу!

практические примеры: (там в разделе "Трейнеры -> Для PC игр")

Sleeping Dogs Definitive Edition - х64 шеллкод +aplib упаковка

Divinity Dragon Commander / Need For Speed World - x32 dll +pe loader +aplib упаковка

Operation Flashpoint Dragon Rising / Operation Flashpoint Red River / Need For Speed Rivals - cpl метод (он же LoadLibrary) можно совместить с Hide PEB

берешь и смотришь в дебагере

 

Изменено 16 октября, 2016 пользователем gmz

[elvis66666]

Благодарю))) Поизучаем!

[elvis66666]

4 часа назад, gmz сказал:

шеллкод или свой pe loader или NtSuspendProcess + LoadLibrary + Hide PEB + NtResumeProcess (последний вариант только в легких случаях)

 

Нашел на просторах исходник инъектора, вдруг кому понадобится и тоже заинтересуется для расширения кругозора - Best injector

[gmz]

этот вроде круче: https://github.com/akamajoris/injector

 

[Гость]

В 16.10.2016в18:07, partoftheworlD сказал:

Manual Mapping я думаю.

О еще можно PE заголовок затереть у dll.

Про вак расскажу это не связано с инжектом, но может придумаешь что-нибудь.

 

Запускать чит экстернал из контейнера TrueCrypt и подобных ему, которые после нахождения процесса отключают. Т.е чит есть в памяти, но физически его уже нет на диске. И VAC не может получить хеш чита, чтобы добавить в базу даже после сканирования и менять хеш при перезапуске чита. После таких манипуляций, я играл в кс го с самописным приватным читом около 1.5 года и без бана. Сейчас на аккаунте 2000 часов уже и до сих пор не забанило. .

 

 Вак запускается вместе со Steam используя для инжекта вак модуля manual mapping или load library(в основном manual mapping) недавно ковырял это все и дампил вак модуль. FaceIT не детектит читы, которые инжектятся с помощью manual mapping.

 

В Dirt Rally в скором времени разработчики намерены встроит VAC систему.

На сколько мне известно VAC сканирует сигнатуры читов, а в том числе и программ. Если будет запущен СЕ во время нахождения на сервере защищенном VAC, то однозначно от этого последует блокировка акаунта.

 

Каким образом тебе удалось использовать СЕ и не получить бан, в то время пока ты в нем искал значения и исследовал память?

Или ты все это делал пока был в оффлайн режиме, в котором опять же на сколько мне известно, VAC не активен?

 

Что за приватный чит такой? В КС есть какой - либо сканер памяти на оригинальность байт?

[partoftheworlD]

55 минут назад, AntonVit сказал:

На сколько мне известно VAC сканирует сигнатуры читов, а в том числе и программ. Если будет запущен СЕ

Там последний дамп vac если захочешь покопаться. Не уверен на счет того, что сканирует сигнатуры, тогда бы проц не плохо жрало мне кажется. А вот лишь малая часть функций за которыми вак следит.

UPD. После последнего обновления теперь функции импота зашифрованы и VAC запускается сразу после запуска стима, а не игры как было раньше. 

 

Скрытый текст

 

 

55 минут назад, AntonVit сказал:

Каким образом тебе удалось использовать СЕ и не получить бан, в то время пока ты в нем искал значения и исследовал память?

Его можно отключать при помощь параметра запуска -insecure

 

55 минут назад, AntonVit сказал:

Что за приватный чит такой? В КС есть какой - либо сканер памяти на оригинальность байт?

 

Приватный, тот что только для себя писал. На счет "сканер памяти на оригинальность байт" не понял. Ты имеешь ввиду защиту целостности кода? Если да, то тебя не будет выкидывать из игры при изменении 1 байта как в крайзис, а просто получишься бан в ближайшие 2 недели.

Изменено 20 октября, 2016 пользователем partoftheworlD

[Гость]

Да, в КС есть такой сканер? Ты делал обход на него?

[partoftheworlD]

8 минут назад, AntonVit сказал:

Да, в КС есть такой сканер? Ты делал обход на него?

Видимо есть, но я не делал т.к. работал только с память игры. Без правки инструкций. 

Плюс там не вызываются инструкции просто на любом участке кода как в крайзис допустим, там какая-то другая проверка целостность кода.

Изменено 20 октября, 2016 пользователем partoftheworlD

[Гость]

(справка)

-insecure - Запускает сервер без технологии Valve Anti-Cheat для игр source (Half-Life 2, Counter-strike: Source, и т.д.).

 

 

Ты сделал читы используя сервер незащищенный.

Далее через прогу truecrypt скрыл exe_шник трейнера

Далее играл уже на защищенных серверах?

 

Такая была последовательность событий?

 

 

 

 

[partoftheworlD]

29 минуты назад, AntonVit сказал:

Ты сделал читы используя сервер незащищенный.

Далее через прогу truecrypt скрыл exe_шник трейнера

Далее играл уже на защищенных серверах?

 

Такая была последовательность событий?

 

Почти, т.к был не уверен что truecrypt реально сможет скрыть, каждый запуск менял хеш и заголовок чита.

Была идея пропатчить steamservice.dll, чтобы vac никогда не запускался, но как-то забыл, да и лень было разбирать т.к. бросил все игры на соурс движке в гта играю в основном. Из steamservice.dll вызывается GetProcAddress из модуля вака получает адрес функции _runfunc20 (это и будет точка входа вака )и дальше уже делает с ним какие-то телодвижения. 

Изменено 20 октября, 2016 пользователем partoftheworlD

[Гость]

58 минут назад, partoftheworlD сказал:

Почти, т.к был не уверен что truecrypt реально сможет скрыть, каждый запуск менял хеш и заголовок чита.

Была идея пропатчить steamservice.dll, чтобы vac никогда не запускался, но как-то забыл, да и лень было разбирать т.к. бросил все игры на соурс движке в гта играю в основном. Из steamservice.dll вызывается GetProcAddress из модуля вака получает адрес функции _runfunc20 (это и будет точка входа вака )и дальше уже делает с ним какие-то телодвижения. 

Понял, спасибо за разъяснения.

[gmz]

В 16.10.2016в22:16, elvis66666 сказал:

Благодарю))) Поизучаем!

и как прогресс? что то покруче придумал/нашел?

[elvis66666]

В 26.10.2016в00:01, gmz сказал:

и как прогресс? что то покруче придумал/нашел?

еще в процессе, слишком много материала и слишком мало времени =(