关于某厂mtp 检测bypass

总结我的bypass mtp方案

读取检测
mtp对读取的检测:
这里就粗略讲下
缺页内存判断，详细可看Linux内存管理详解
这里可以用mincore和pagemap过滤

写入检测
mtp对写入的检测很多
以下是tersafe部分调用
这里v5=sysconf(_SC_PAGESIZE);
取到系统页面大小
addr=v6&~(v5-1);计算出内存中的页偏移
16行以后的翻译if(mprotect((void*)v6&(((pagesize)-1)^(pagesize-1)),v5,PROT_NONE) == -1){
if(v6)
free(v6);
v6= mmap(NULL,这里是个方法,7,33,-1,NULL);
if(v6==-1)
return NULL;
addra = v6&~(v5-1);
}
有点长，我们长话短说
我没有wps会员所以搞不了图
只能文字写
最后一行是返回0LL
我们可以把这个函数的的返回改成返回nullptr

当我们再次上游戏时
修改游戏数值
果不其然，确实不封号了
不过还有一个点
sub_2E8D34
这个函数也得返回nullptr

以上方法适合注入hook使用偏移量来hook

mtp的双开检测
这些带vap的都是
还有部分字符信息被加密过
如
dual_app_files
dual_app_uid
dual_uid_not_same
anti-virapp-files
com.vmos
vmos.prop
VMOS_ROOT_DIR
/sdcard/VMOSfiletransferstation
dual_uid_cnt
dual_uid_%d
dual_app

这些加密字符串调用在sub_2393f4
直接返回nullptr会出问题得try

可以通过virtualapp的挂钩函数来hook
有问题请留言

顶起顶起顶起

支持，赞一个

锄禾日当午，发帖真辛苦。谁知坛中餐，帖帖皆辛苦！

前排支持下

前排支持下

村长帖子非常给力