Requia

Quote:

Originally posted by x-sol@Jan 30 2007, 18:01 <hr>Append on Jan 30 2007, 18:04<hr> n3Cre0 - don't talk to me. I have no respect for you. I do at least respect Harko.

Quote:

Das ist gar nicht mal so doof. Die Frage ist nur, wie weit ich mich hier austoben könnte, wenn ich mich entscheide so etwas zu implementieren, bis das mit meiner Anti-Detection kollidiert (sprich der "Schutz" nicht mehr in dem Maße gewährleistet ist). Wenn meine Anti-Detection geladen wird, hookt es automatisch auch selbst diverse lokale Aufrufe (bsp. new) und ich könnte den Code hier nicht einfach in einen virtuellen Bereich verschieben und ihn dort ausführen, da hier der EIP auf dem Stack z. B. entscheident für das Resultat des Aufrufs sein kann. Es schockt wirklich nicht paar Tausend Zeilen Code durchzugehen und schauen, ob das irgendwo kollidiert. Die Anti-Detection selbst ist für außenstehende, die gerade erstmal mit ASM angefangen haben und OllyDbg/IDA bedienen können unüberwindbar. Sie selbst ist nicht perfekt. Ich würde Lücken finden und ausnutzen können. Bei Anti-Detection geht es im großen und ganzen nicht darum einen "perfekten" Schutz zu haben, den es aus technischer Sicht sowieso nie geben wird, sondern es so aufwendig zu gestalten, dass es sich für niemanden mehr lohnt ihn zu durchdringen. Ob meine Anti-Detection etwas taugt, müsste noch mit einer Veröffentlichung bewiesen werden, von daher halte ich hier den Ball etwas flacher.

Quote:

Die Anti-Detection selbst ist für außenstehende, die gerade erstmal mit ASM angefangen haben und OllyDbg/IDA bedienen können unüberwindbar.

Quote:

Originally posted by n3Cre0+Jan 30 2007, 11:17--></span><table border='0' align='center' width='95%' cellpadding='3' cellspacing='1'><tr><td>QUOTE (n3Cre0 @ Jan 30 2007, 11:17)</td></tr><tr><td id='QUOTE'> <!--QuoteBegin--x-sol@Jan 30 2007, 18:01 <hr>Append on Jan 30 2007, 18:04<hr> n3Cre0 - don't talk to me. I have no respect for you. I do at least respect Harko.

Quote:

Originally posted by Harko+Jan 30 2007, 18:36--></span><table border='0' align='center' width='95%' cellpadding='3' cellspacing='1'><tr><td>QUOTE (Harko @ Jan 30 2007, 18:36)</td></tr><tr><td id='QUOTE'>Anti Detection ist ein Katz und Mausspiel das man nicht gewinnen kann bei Online Spiele.[/b]

Quote:

Den Prozess nicht - zumindest nicht direkt - zu verändern, war in der Vergangenheit auch keine gute Lösung sich davor zu schützen. Du weisst das sie auch außerhalb des eigenen Prozesses scannen (erwähnst du ja einen Tick später).

Warden protection routines:

0. >> force send data
>> ends the current scan process and force send to the server
input:
output:
sends the data output buffer

// type 1 : get client memory

1.1. >> get client memory
>> copies memory from offset into the output buffer 
input:
db  : argument in data stack (module name) or 0
dd  : address offset
db  : data length
output:
db  : 0 - ok, 1 - something wrong
db*? : copied memory data

1.2. >> get client memory with direct pointer (first reads address at address offset)
>> redirected memory reading at offset
input:
db  : argument in data stack (module name) or 0
dd  : address offset
db  : data length
output:
db  : 0 - ok, 1 - something wrong
db*? : copied memory data

1.3. >> get client memory with stack trace
input:
db  : cnt in FrameEBP (stack trace backward from current ret EIP)
db  : data length
output:
db*? : copied memory data

// type 2 : get hash of client file

2. >> check client file
- checks if specific wow/d2 files are manipulated
input:
db  : argument in data stack (mostly 1 for the first string)
output:
db  : 0 - ok, 1 - something wrong
dd*5 : hash

// type 3 : find module in current process

3.1. >> find module by name
>> module search by hash signatures of the module name
input:
db*4 : init hash value
dd*5 : blacklisted hash
output:
db  : 0 - nothing found, e9 - module found

3.2. >> find module by memory hash
>> module search by hash signatures
- Module32First / Module32Next
- iterates every module
- use hash of a few bytes at offset to find specific blacklisted modules
db*4 : init hash value
dd*5 : blacklisted hash
dd  : offset 
db  : data length
output:
db  : 0 - nothing found, e9 - module found

3.3. >> find module by name in export table
>> module name search by complete memory and export table scan
- scans the whole memory area with NtQueryVirtualMemory
- searchs for module memory blocks
- use allocation base and export table to get original name
- calls directly ntdll!NtQueryVirtualMemory
- includes int3 breakpoint check for ntdll!NtQueryVirtualMemory
- bypass int3 breakpoints at ntdll!NtQueryVirtualMemory 
input:
db*4 : init hash value
dd*5 : blacklisted hash
output:
db  : 0 - nothing found, e9 - module found

3.4 >> find injected memory by hash
input:
db*4 : init hash value
dd*5 : blacklisted hash
dd  : offset
db  : length
output:
db  : 0 - nothing found, e9 - module found

4.1. >> DbgUiRemoteBreakin hook check
- checks content at api address when hook installed
- hashs redirected code and compares it 
input:
db*4 : init hash value
dd*5 : blacklisted hash
dw  : offset
db  : data lenght
output:
db  : 0 - nothing found, e9 - module found

4.2. >> NtQueryVirtualMemory hook check
- checks content at api address when hook installed
- hashs redirected code and compares it
input:
db*4 : init hash value
dd*5 : blacklisted hash
dw  : offset
db  : data length
output:
db  : 0 - nothing found, e9 - module found

Quote:

1.1. >> get client memory >> copies memory from offset into the output buffer input: db : argument in data stack (module name) or 0 dd : address offset db : data length output: db : 0 - ok, 1 - something wrong db*? : copied memory data 3.1. >> find module by name >> module search by hash signatures of the module name input: db*4 : init hash value dd*5 : blacklisted hash output: db : 0 - nothing found, e9 - module found 3.2. >> find module by memory hash >> module search by hash signatures - Module32First / Module32Next - iterates every module - use hash of a few bytes at offset to find specific blacklisted modules db*4 : init hash value dd*5 : blacklisted hash dd : offset db : data length output: db : 0 - nothing found, e9 - module found

Quote:

Ja, Onlinespiel ohne farmen ist irgendwie richtige Welt ohne Arbeit. Deswegen weiss ich nicht, was Anet gegen das Farmen hat, die "KI"-Updates treffen eh nur die kleinen Botter-Fische.