防破J技术帖汇编内核sockt 动态send 动态recv+动态创建线程实现无法抓包

雨过天晴 · 发表于 2017-11-10 05:09:36

本帖最后由雨过天晴于 2017-11-10 21:12 编辑

个人原创
相信今年大家有很大的技术突破
本源码所有抓包工具无效无法抓包所有发包API无法下断（除了网卡抓包因为躲过网卡抓包这已经不是易语言能开发出来的东西了）

此源码可以用作POST 跟GET 隐藏提交（广大协yi友人的福音）而且速度非常快
今天有朋友问我大家都想要这个例子就在回复栏回复我会去写一份例子来共享

本源码核心价值就是防止被逆向解密因为没有那个人的请求会用明文断不下来send也就难以追踪请求加密算法
然而刚刚看到有人用Wireshark来抓包。。。
是肯定能抓到的R3没有能力在R0进行绕过除非你不走内核
或者你在R0做HOOK 回调还原等处理
但是在R3我们已经对R0进行加密了所以
OD定位不到API Wireshark 抓到的包基本没什么用
有人说我这速度会慢那我就发2份出来
一份是动态释放（解密时候会影响速度大概10万次发包里时间会多出静态释放的30%）
一份是只释放一次
然而不存在速度慢因为使用send的人就没有人指望发包调用速度会快过
解释下调用速度
API Send
从WS2_32.dll到mswsock.dll到NTdll.dll WIN7里全部调用汇编有6千多行
我们的发包已经把很多没必要的代码去掉了直接调用R0 整合下来也就2000多来行这个速度是真的可以不用考虑

原理解剖

国外著名反辅Zhu软件 BE R3调用内核函数通讯驱动方法与此源码方法一样
在这之前网上不会找出第二份内核发包的源码
懂的人自然会懂
一直以来防破J技术在网上并没有什么新的共享探讨
因为大神们不喜欢开源
此方法非常直接的防止了HOOK与抓包（但是R0层还是无效的）
因为破J者喜欢下断Send 有点技术好的直接条件断ZwDeviceIoControlFile 我们这种方法很难跟踪
这种动态调用技术含量其实不高难度是ZwDeviceIoControlFile （直接发送控制代码到指定的设备驱动程序，使相应的移动设备以执行相应的操作的函数。）他是多功能地方调用函数许多驱动通讯硬盘类操作最走到这个函数
然而我们利用ZwDeviceIoControlFile 进行了请求发送难的是在参数如何获取因为没有几年逆向功底参数是逆不出来的因为这个函数太多地方调用了了
然后我花了半天天时间把微软的参数来源都逆了出来并且自己封装
如果觉得本贴不错可以支持一下加个分哟
图片时候打了几个错别字希望大家不要建议（分别是揭秘=解密内涵=内核）
直接上图

源码下载

内核发包.e (45.75 KB, 下载次数: 1460)

灵海雪缘 · 发表于 5 天前

gm06 · 发表于 2024-6-28 11:53:43

这个真牛啊。

guansidong · 发表于 2024-6-17 09:48:21

支持开源~！感谢分享

wxxjs66 · 发表于 2024-6-4 14:35:52

这个模块用途是防止别人用抓包软件抓软件里面的地址和内容的

a56152118a · 发表于 2024-3-13 13:47:04

学习学习学习学习

linkjg · 发表于 2024-3-13 13:27:53

学习

牛马果555 · 发表于 2024-1-7 09:01:33

yishujia · 发表于 2023-12-2 02:45:28

过来学习一下

youxigw · 发表于 2023-10-16 20:08:20

谢谢分享！！！

虚心进步 · 发表于 2023-8-9 10:12:31

谢谢分享！！！

		自动登录	找回密码
密码			注册

[2017开源大赛(第二届)] 防破J技术帖汇编内核sockt 动态send 动态recv+动态创建线程实现无法抓包

点评

评分

本帖被以下淘专辑推荐:

[2017开源大赛(第二届)] 防破J技术帖 汇编内核sockt 动态send 动态recv+动态创建线程 实现无法抓包

点评

评分

本帖被以下淘专辑推荐:

[2017开源大赛(第二届)] 防破J技术帖汇编内核sockt 动态send 动态recv+动态创建线程实现无法抓包