ARCHANGEL пишет:
Как известно, производители Duplex Secure позиционируют свой драйвер как несовместимый с ринг0 дебаггерами. Но "совместить" это дело можно, если удалить ядерные CALLBACK - обработчики, устанавливаемые драйвером sptd.sys (может именовать себя по-другому). Обработчики эти устанавливаются с помощью ядерных PsSetCreateProcessNotifyRoutine, PsSetLoadImageNotifyRoutine и т.д. Делается это легко с помощью Rootkit Unhooker (RkU), удаляем три колбэка, явно принадлежащих области памяти, занимаемой драйвером Duplex Secure, и четвёртый - расположенный в выделенной памяти и распознаваемый как расположенный в unknown code page.
Собственно вопрос про то, как именно снять колбеки? RkU запустил (может не тот? 3.20.130 версия), вкладка SSDT Hooks Detector/Restorer, только две функции отмечены как Hooked - NtLoadDriver и NtSetSystemInformation

| Сообщение посчитали полезным:

лучше напиши автору вконтакте, он здесь редко бывает

| Сообщение посчитали полезным:

Как снять кернел фильтр и при этом не покодить

-----
vx

| Сообщение посчитали полезным:

В Kernel Detective нашёл ровно 4 коллбека

Удалил, при запуске Syser - синь.

| Сообщение посчитали полезным:

какая цель вобще ? если сисер запустить то у него есть опции в его утилите для удаления этих конфликтных драйверов

| Сообщение посчитали полезным:

Цель - узнать Appkey старфорса для SFFS, диска настоящего у меня нет, так что SPTD (Daemon Tools) нужен.

| Сообщение посчитали полезным:

Так вот же набор для отлова appkey
https://exelab.ru/f/action=vthread&forum=3&topic=22923&page=0#24
https://exelab.ru/f/action=vthread&forum=13&topic=8681&page=1#21

| Сообщение посчитали полезным: PASAf

kampaster
в данный момент поддерживает версии стара > 5.5
А у меня 3.7.12

Добавлено спустя 7 часов 3 минуты
В общем не ловит ничего драйвер ни один, ни второй, пишут StarForce driver not found.
Вопрос как сдружить syser и sptd актуален.
BSOD 0x000000F7 UNEXPECTED_KERNEL_MODE_TRAP 0x00000008 (double-fault), дампа не делает, никакого

Добавлено спустя 7 часов 34 минуты
Попробовал драйвер antisptd.sys - тот же результат

| Сообщение посчитали полезным: kampaster

насколько я помню в старом старфорсе драйвер sffs назывался по-другому. Сравни названия драйверов и перебей в сниффере имя на старое. Поправишь контрольную сумму и должно сработать. Ну и есть еще способ спрятать sptd через виртуалку

| Сообщение посчитали полезным: kampaster, PASAf

PASAf

> (double-fault)

Это очень не хорошая ошибка, так просто это не зафиксить - двойной фолт возникает когда бьются таблицы, через которые происходит обработка экцепшена. Так что скорее всего дело совсем не в хуках вашего дрова.

-----
vx

| Сообщение посчитали полезным:

difexacaw пишет:
Это очень не хорошая ошибка, так просто это не зафиксить - двойной фолт возникает когда бьются таблицы, через которые происходит обработка экцепшена. Так что скорее всего дело совсем не в хуках вашего дрова.


надо допиливоть моторы, чтоб они умели откатывать даблфолт, чтоб не словить типлфолт, после которого гарантированный ребут случается, ну а для этого надо хукать идт, чтоб и патчвард не палил

| Сообщение посчитали полезным:

Klerk

Матчасть нужно знать, что бы быть способным разобрать подобную ошибку. А тебя выпилить положено, тайминг ты свой исчерпал.

Я могу посмотреть, но автор не предоставил никакой инфы.

-----
vx

| Сообщение посчитали полезным:

Nightshade
Исправил имя (appdrv01.fs на sfvfs02.sys), что-то поймало, но по всей видимости - не то. Забил пойманный Appkey в распаковщик vden и получил 16923856940940... (расшифрованное из заголовка кол-во файлов)
VMWare прятать не получится, т.к. в VMWare игра не запускается совсем (из-за видеокарты), до открывания файлов дело не доходит.
difexacaw
Если не запускать Syser вместе с загруженным драйвером SPTD - всё нормально, образы монтируются, всё эмулируется.
Если отключить или удалить SPTD - Syser спокойно запускается.
Т.ч. может дело и не в хуках, но точно в несовместимости SPTD и Syser.
difexacaw
А что предоставлять? Windows дамп не хочет делать, ни полный, ни мини, вообще.

| Сообщение посчитали полезным:

Klerk пишет:
типлфолт, после которого гарантированный ребут случается
Не ребут, а shutdown проца. А дальше уже зависит от реакции чипсета на сигнал о шатдауне. Во всех известных чипсетах эта реакция сводится либо к INIT#, либо к PLTRST#, хотя в теории может быть, например, и NMI#, либо SMI#.

| Сообщение посчитали полезным: