-
-
[原创]对BEShellCode扫描steam劫持渲染的小分析
-
发表于: 2020-1-12 22:13
-
主题：对BEShellCode扫描steam劫持渲染的小分析
平台：Window7 x64
调试工具：IDA 7.2
----------------------------------------------------------------------------------------------------------------------------------------------------------------------
0x00：前言
题主逆向水平很低，分析主要参考谷歌到的资料。遇到讲的不对的地方，欢迎指正。
请勿用于非法用途，仅仅用于学习的目的，不针对某款游戏。
0x01：分析
这段扫描的ShellCode由BE服务器下发，扫描完成后即释放。
如何dump到ShellCode呢，游戏会调用API，在他使用的常规API下断以后回溯到调用代码即为他的ShellCode，此时我们使用工具Dump下来即可。
这里是扫描GameOverlayUI的开始（GameOverlayUI进程是负责跟游戏通信的，具体渲染应该是由游戏完成的）
可以看到BeShellCode首先打开了进程
长话短说
1. 首先调用NtQueryVirtualMemory 查询内存信息 如果存在内存块 State=MEM_COMMIT 并且 Type=MEM_PRIVATE 并且为可执行内存 并且内存段大小大于0x10000就会发送给BE服务
2. 第二段为循环遍历内存每次递增1000 扫描文本跟某些特征 扫了6个 存在即发送给BE服务
Home F1 是其中两个 如果打开进程失败 即会发送到BE服务
3. 扫描内存块大小小于0x10000的内存中是否存在E9 并且跳转地址是否在自身模块中
并且次数大于100次 则发送到Be服务
4. 调用NtQueryInformationProcess查询进程信息 查询失败 再查询一次 并且看图吧...
|
|
|---|---|
|
|
|
|
|
|
|
|
我山总日入过百万,曾经在MFC里面深入不出,手写商业蓝屏驱动,也曾创造过一夜被辞的世界纪录,至今他的芳名仍流传于外挂界。此等神话,尔等只能远观而不可亵玩焉。Skr Skr |
|
|
|
|
|
|
|
|
 我be不要脸的吗？
|
|
|
对不起 我不配。（不是针对谁 在易语言大手子面前在座的各位都是辣鸡  ）
|
|
|
|
|
|
|
|
|
不日也行  ida认真看看其实还有很多处理方式 这些过完还有各种内部外部截图要处理
|
|
|
事实是BE根本木有截图 几十万在线用截图查作弊根本没意义 你说你去撸租号平台那还有点道理
最后于 2020-2-1 09:50
被hzqst编辑
，原因：
|
|
|
那他调用GetBitBlt 然后二值化上传是为了什么 而且他shellcode里面也会调用GetNtUserWindowDiplayAffinity 他还会调用SetWindowDisplayAffinity自己把自身的反截图关了 如果截图不存在 他做这些有什么意义呢？ 另外截图不是一直在截图 人数杀多举报多了才会截图 现在截图频率很低。 另外截图应该是XE负责的吧... 其实无论他截图不截图 其实跟我都没啥关系 我不靠这个生活。 还有 大黄狗我爱你 我是你粉丝 可以给个好友位 吗
最后于 2020-2-1 11:25
被淡然他徒弟编辑
，原因：
|
|
|
|
|
|
此楼正解。XE会截图。而且会把自身的反截图取消掉。BE只会检测PUBG的窗口是否被反截图。如果被反截图则会弹出提示Disallow xxxxx |
hzqst
黑洛
淡然他徒弟
