跟ACE斗智斗勇的第3天。

花老板

ACE就是TX的反作弊系统，是TP的继任者。
早些年的TP存在缺陷，非常好搞定，于是TX花重金研发了ACE系统。

新版ACE简直是变态来形容。（鹅厂甚至想把hook技术都申请专利？）

第1个阶段。
数万个钩子，几乎所有核心API都做了钩子（用pchunter可以直接看到）。
我3次查看，最高是5万个钩子。。。。。

第2个阶段。
动态下发shellcode。这是我调试的时候发现的。
本来一个静态代码，重启了下游戏，好家伙，，，连静态的代码段都能动态加密。

3：接管系统时钟（也可以是单保护进程的时钟）。
这点我都不知道怎么表达了，有些需要时钟相关的，一调试要么狂飙，要么不动。

4：权限级别不高，扔是R0。提权到system依然看读写。但不能下断。
我调试的时候，特意处理了部分钩子，但治标不治本。最后搞了个VT调试起来

5：新版ACE不那么卡，比旧版TP强一些。但仅限于部分情况。
ACE有个防护机制，疑似你在调试，修改的时候，触发纠察机制，电脑就特别卡。
5800X的电脑直接干到了80%。ACE恐怖如斯。（是在扫盘？未知的操作！）

6：新版ACE的防护，在大部分情况下保护机制不是提醒（旧版TP直接提示环境异常）
新版现在是直接蓝，蓝屏代码也是五花八门，大部分是内存分页异常，键鼠硬件改动等。

7：新版ACE在文件扫描优化上，比TP强很多，他不会乱扫。
我加了火绒文件检测，可能是火绒干不过ACE，也可能是ACE真的不扫盘。
（我甚至怀疑，大厂都联盟了，火绒和360都不会报ACE的异常操作）

8：不同的游戏保护程度不一样。甚至ACE版本，动态shellcode也不一样。
你解决了某个游戏的调试，也不能通杀别的游戏调试。

9：新版ACE最强的地方是，注入/写内存/创建线程，永远不可能逃过检测。
我是说永远！  就算你摘了全部钩子，就算了拦截了ACE的安装，也不行。
除非还是走VT虚拟化。（但不能调CALL了）想办法过crc也许能试试。

10：不影响读内存，前提是级别相同或者更高的权限。
会不会被检测出来未知。理论上驱动层是不走API的。

配个图吧。  让天下英雄尽折腰的高科技。


如今虽然可以正常调试了。但调CALL依然是在他检测中。
等于说封不封取决于他。毕竟摘CRC是个体力活，尤其是CALL太多的情况下。

s8198587

TEX

飞天大哥们无处不在说明ace还是有待加强

陈大奶么么哒

最近自己的小项目也被ACE针对了 我不写内存 我只读和调call取一些数据  一直被封

Bszk

数万个钩子，几乎所有核心API都做了钩子

我是不信他重写了这么多函数，估计是全部勾到同一个函数（可能是动态生成多个），但也是同一个模板的，然后进行判断处理是否继续。。。
要是真的重写了5w的函数，我只能说它nb，不知道祭天了多少只程序员

LOLzouA

ACE这种SX保护 有手就会

冬夏

期待花老板跟ACE的后续系列

Awesome·LYG

那有没有啥过了ace的虚拟机。。。

zhongyayong

回复需要审核?没发出

zhongyayong

升级作弊检测的ACE系统,实质并没斩断大佬们.CF仍然很多大哥,飞天的,核弹的等等各种变态功能一个不少,还有官方啊卡内部人员开卦