004内核编程学习笔记

对某某游戏的驱动双开的分析及其学习
目前网络游戏，由于外（和谐）挂盛行，在游戏中加了很多很多的防护校验，我们耳熟能详的有TP，NP，HS，xtrap，apex等，在游戏加载前都可以看到它们的身影。

作为一个初学内核驱动的菜鸟，看着高手们辗压各种驱动保护，心里真的是羡慕妒嫉恨啊。

不过，现在还是要打好基础为最重要。

先还是实现一个简单的驱动双开吧~
某游戏要实现双开，说难不难，说容易不容易，主要是有一条技术分界线，那就是ring0级的编程，如果总是考虑用户ring3层的东西，是永远实现不了的。

这也是为什么双开也可以成为了外（和谐）挂的一种特殊功能了(——)!
对于某游戏，在网上早就有双开的工具了，下载下来逆向分析一下，也比较简单，整个双开的流程分为2步（本人的角度）：
第一步：加载驱动，SSDT hook NtCreateMutant
某双开工具的hook后NtCreateMutant：
mov edi, edi
push ebp
mov ebp, esp
push dword ptr [ebp+14]
push dword ptr [ebp+10]
push dword ptr [ebp+C]
push dword ptr [ebp+8]
call dword ptr [<&ntkrnlpa.NtCreateMutant>] //想想这里为什么还要call真实地址
xor eax, eax //注意这里，注意这里
pop ebp
retn 10
这个配合NtCreateMutant 的函数原型很容易看出来，原型如下
//NtCreateMutant 创建一个突变的对象,称为互斥在用户模式.
NTSYSAPI
NTSTATUS
NTAPI
NtCreateMutant( OUT PHANDLE MutantHandle,
IN ACCESS_MASK DesiredAccess,
IN POBJECT_ATTRIBUTES ObjectAttributes,
IN BOOLEAN InitialOwner);
第二步：这就是ring3层的了
IsWindow()
FindWindow()
ShowWindow()
SetParent()
诸如此类的方法使得窗口隐藏
流程是这样的，先启动一个游戏，让后加载驱动，并做好ring3 层的隐藏，再启动一个游戏，然后恢复第一个游戏。

既然NtCreateMutant 都返回0 了，那就不是双开那么简单了，是无限开啊，只要保存好状态，不过某游戏占CPU惊人啊，所以一些商家也不好意思说能多开了，呵呵。