云保护SA4.6驱动保护易语言模块源码

系统结构:是否为64位,驱动版本,反调试,结束程序,强制结束,信息提示,初始化SA,卸载SA,打开进程,打开线程,关闭句柄,取句柄号,取进程PID,取窗口标题,取窗口类名,枚举线程表,枚举进程表,枚举窗口表,枚举驱动表,最大保护,添加保护,删除保护,获取保护,是否挂钩,最大白名单,添加白名单,删除白名单,隐藏进程,线程防御,当前进程ID,发送指令,C3,Loop,getd,取文件名,取Sys目录,获取子程序,DOS路径转换,枚举隐藏,VMW虚拟机,VPC虚拟机,try_,try_out,作死,我要作死,时间检测法,调试检测法,变速检测法,虚拟检测机,暂停检测法,取当前进程标识符_,结束进程_,结束线程_,挂起进程_,挂起线程_,取内存变量地址_,取字节集地址_,GetTempPath,VirtualProtect,取模块句柄_,取库函数地址_,拷贝内存_,wsprintf,NtQueryInformationProcess,获取进程经过时间_,取当前进程伪句柄_,取进程地址_,枚举进程信息_,RtlAdjustPrivilege,CreateToolhelp32Snapshot,Process32First,Process32Next,Thread32First,Thread32Next,ZwQueryInformationThread,CloseHandle,GetMappedFileNameA,GetProcessImageFileNameA,判断句柄_,取句柄_,取得窗口_,取父窗口_,判断可见_,判断子窗口_,取标题_,发送消息_,取类名_,ZwOpenProcess,ZwOpenThread,GetLogicalDriveStringsA,QueryDosDeviceA,NtQuerySystemInformation,LocalAlloc,CopyMemory,LocalFree,启动线程_,进程优先级_,NtShutdownSystem,NtRaiseHardError,NtSetInformationProcess,NtSetInformationThread,MessageBoxA,检测系统,结束操作,验证状态,取当前进程标识符_,MessageBoxExA,优化内存_,当前线程标志符_,

======程序集
           |  |
           |  |------ _启动子程序
           |  |
           |  |------ 是否为64位
           |  |
           |  |------ 驱动版本
           |  |
           |  |------ _检测CRC
           |  |
           |  |------ _写入CRC
           |  |
           |  |------ 反调试
           |  |
           |  |------ 结束程序
           |  |
           |  |------ 强制结束
           |  |
           |  |------ 信息提示
           |  |
           |  |------ 初始化SA
           |  |
           |  |------ 卸载SA
           |  |
           |  |------ 打开进程
           |  |
           |  |------ 打开线程
           |  |
           |  |------ 关闭句柄
           |  |
           |  |------ 取句柄号
           |  |
           |  |------ 取进程PID
           |  |
           |  |------ 取窗口标题
           |  |
           |  |------ 取窗口类名
           |  |
           |  |------ 枚举线程表
           |  |
           |  |------ 枚举进程表
           |  |
           |  |------ 枚举窗口表
           |  |
           |  |------ 枚举驱动表
           |  |
           |  |------ 最大保护
           |  |
           |  |------ 添加保护
           |  |
           |  |------ 删除保护
           |  |
           |  |------ 获取保护
           |  |
           |  |------ 是否挂钩
           |  |
           |  |------ 最大白名单
           |  |
           |  |------ 添加白名单
           |  |
           |  |------ 删除白名单
           |  |
           |  |------ 隐藏进程
           |  |
           |  |------ 线程防御
           |  |
           |  |------ 当前进程ID
           |  |
           |  |------ 发送指令
           |  |
           |  |
======函数集
           |  |
           |  |------ C3
           |  |
           |  |------ Loop
           |  |
           |  |------ getd
           |  |
           |  |------ 取文件名
           |  |
           |  |------ 取Sys目录
           |  |
           |  |------ 获取子程序
           |  |
           |  |------ DOS路径转换
           |  |
           |  |------ 枚举隐藏
           |  |
           |  |------ VMW虚拟机
           |  |
           |  |------ VPC虚拟机
           |  |
           |  |------ try_
           |  |
           |  |------ try_out
           |  |
           |  |------ 作死
           |  |
           |  |------ 我要作死
           |  |
           |  |
======反调试类
           |  |
           |  |------ _初始化
           |  |
           |  |------ _销毁
           |  |
           |  |------ _立刻死机
           |  |
           |  |------ _立刻蓝屏
           |  |
           |  |------ _立刻重启
           |  |
           |  |------ _普通检测
           |  |
           |  |------ _整体检测
           |  |
           |  |------ _超强检测
           |  |
           |  |------ _释放全部
           |  |
           |  |------ 时间检测法
           |  |
           |  |------ 调试检测法
           |  |
           |  |------ 变速检测法
           |  |
           |  |------ 虚拟检测机
           |  |
           |  |------ 暂停检测法
           |  |
           |  |
======调用的Dll
           |  |
           |  |---[dll]------   取当前进程标识符_
           |  |
           |  |---[dll]------   结束进程_
           |  |
           |  |---[dll]------   结束线程_
           |  |
           |  |---[dll]------   挂起进程_
           |  |
           |  |---[dll]------   挂起线程_
           |  |
           |  |---[dll]------   取内存变量地址_
           |  |
           |  |---[dll]------   取字节集地址_
           |  |
           |  |---[dll]------   GetTempPath
           |  |
           |  |---[dll]------   VirtualProtect
           |  |
           |  |---[dll]------   取模块句柄_
           |  |
           |  |---[dll]------   取库函数地址_
           |  |
           |  |---[dll]------   拷贝内存_
           |  |
           |  |---[dll]------   wsprintf
           |  |
           |  |---[dll]------   NtQueryInformationProcess
           |  |
           |  |---[dll]------   获取进程经过时间_
           |  |
           |  |---[dll]------   取当前进程伪句柄_
           |  |
           |  |---[dll]------   取进程地址_
           |  |
           |  |---[dll]------   枚举进程信息_
           |  |
           |  |---[dll]------   RtlAdjustPrivilege
           |  |
           |  |---[dll]------   CreateToolhelp32Snapshot
           |  |
           |  |---[dll]------   Process32First
           |  |
           |  |---[dll]------   Process32Next
           |  |
           |  |---[dll]------   Thread32First
           |  |
           |  |---[dll]------   Thread32Next
           |  |
           |  |---[dll]------   ZwQueryInformationThread
           |  |
           |  |---[dll]------   CloseHandle
           |  |
           |  |---[dll]------   GetMappedFileNameA
           |  |
           |  |---[dll]------   GetProcessImageFileNameA
           |  |
           |  |---[dll]------   判断句柄_
           |  |
           |  |---[dll]------   取句柄_
           |  |
           |  |---[dll]------   取得窗口_
           |  |
           |  |---[dll]------   取父窗口_
           |  |
           |  |---[dll]------   判断可见_
           |  |
           |  |---[dll]------   判断子窗口_
           |  |
           |  |---[dll]------   取标题_
           |  |
           |  |---[dll]------   发送消息_
           |  |
           |  |---[dll]------   取类名_
           |  |
           |  |---[dll]------   ZwOpenProcess
           |  |
           |  |---[dll]------   ZwOpenThread
           |  |
           |  |---[dll]------   GetLogicalDriveStringsA
           |  |
           |  |---[dll]------   QueryDosDeviceA
           |  |
           |  |---[dll]------   NtQuerySystemInformation
           |  |
           |  |---[dll]------   LocalAlloc
           |  |
           |  |---[dll]------   CopyMemory
           |  |
           |  |---[dll]------   LocalFree
           |  |
           |  |---[dll]------   启动线程_
           |  |
           |  |---[dll]------   进程优先级_
           |  |
           |  |---[dll]------   NtShutdownSystem
           |  |
           |  |---[dll]------   NtRaiseHardError
           |  |
           |  |---[dll]------   NtSetInformationProcess
           |  |
           |  |---[dll]------   NtSetInformationThread
           |  |
           |  |---[dll]------   MessageBoxA
  ======程序集1
           |  |
           |  |------ _启动子程序
           |  |
           |  |
======窗口程序集1
           |  |
           |  |------ _窗口1_创建完毕
           |  |
           |  |------ _窗口1_将被销毁
           |  |
           |  |------ 检测系统
           |  |
           |  |------ _时钟1_周期事件
           |  |
           |  |------ _时钟2_周期事件
           |  |
           |  |------ _时钟3_周期事件
           |  |
           |  |------ 结束操作
           |  |
           |  |------ _按钮1_被单击
           |  |
           |  |------ _按钮2_被单击
           |  |
           |  |------ 验证状态
           |  |
           |  |------ _窗口1_首次激活
           |  |
           |  |------ _按钮3_被单击
           |  |
           |  |------ _标签8_鼠标左键被按下
           |  |
           |  |------ _标签9_鼠标左键被按下
           |  |
           |  |------ _标签10_鼠标左键被按下
           |  |
           |  |
======调用的Dll
           |  |
           |  |---[dll]------   取当前进程标识符_
           |  |
           |  |---[dll]------   MessageBoxExA
           |  |
           |  |---[dll]------   优化内存_
           |  |
           |  |---[dll]------   当前线程标志符_

调用的DLL命令:

.DLL命令 取当前进程标识符_, 整数型, "kernel32.dll", "GetCurrentProcessId"

.DLL命令 结束进程_, 整数型, "ntdll.dll", "ZwTerminateProcess"
    .参数 hProcess, 整数型
    .参数 dwExitCode, 整数型

.DLL命令 结束线程_, 整数型, "ntdll.dll", "ZwTerminateThread"
    .参数 hThread, 整数型
    .参数 dwExitCode, 整数型

.DLL命令 挂起进程_, 整数型, "ntdll.dll", "ZwSuspendProcess"
    .参数 Handle, 整数型

.DLL命令 挂起线程_, 整数型, "ntdll.dll", "ZwSuspendThread"
    .参数 Handle, 整数型
    .参数 Count, 整数型

.DLL命令 取内存变量地址_, 整数型, , "lstrcpyn"
    .参数 数据1, 整数型, 传址 数组
    .参数 数据2, 整数型, 传址 数组
    .参数 数据长度, 整数型

.DLL命令 取字节集地址_, 整数型, , "lstrcpyn"
    .参数 数据1, 字节集
    .参数 数据2, 字节集
    .参数 数据长度, 整数型

.DLL命令 GetTempPath, 整数型, , "GetTempPathA"
    .参数 dwBufferLength, 整数型
    .参数 lpBuffer, 文本型

.DLL命令 VirtualProtect, 整数型, , "VirtualProtect"
    .参数 lpAddress, 整数型
    .参数 dwSize, 整数型
    .参数 flNewProtect, 整数型
    .参数 lpflOldProtect, 整数型, 传址

.DLL命令 取模块句柄_, 整数型, , "GetModuleHandleA"
    .参数 模块名, 文本型

.DLL命令 取库函数地址_, 整数型, , "GetProcAddress"
    .参数 hModule, 整数型
    .参数 lpProcName, 文本型

.DLL命令 拷贝内存_, 整数型, , "RtlMoveMemory"
    .参数 目标数据地址, 整数型
    .参数 源数据, 字节集
    .参数 尺寸, 整数型

.DLL命令 wsprintf, , , "@wsprintfA"
    .参数 a, 文本型, 传址
    .参数 b, 文本型, 传址
    .参数 c, 整数型

.DLL命令 NtQueryInformationProcess, 整数型, "ntdll.dll", "NtQueryInformationProcess"
    .参数 hProcess, 整数型
    .参数 InfoClass, 整数型
    .参数 Buffer, 整数型, 传址
    .参数 Bufsize, 整数型
    .参数 pReqsize, 整数型

.DLL命令 获取进程经过时间_, 整数型, "kernel32.dll", "GetProcessTimes"
    .参数 进程句柄, 整数型
    .参数 创建时间, 文件时间_
    .参数 中止时间, 文件时间_
    .参数 系统经过时间, 文件时间_
    .参数 用户经过时间, 文件时间_

.DLL命令 取当前进程伪句柄_, 整数型, "kernel32.dll", "GetCurrentProcess", , GetCurrentProcess

.DLL命令 取进程地址_, 整数型, "kernel32.dll", "GetProcAddress"
    .参数 模块句柄, 整数型, , hModule
    .参数 进程名称, 文本型, , lpProcName

.DLL命令 枚举进程信息_, 整数型, "ntdll.dll", "ZwQueryInformationProcess"
    .参数 hProcess, 整数型
    .参数 InfoClass, 整数型
    .参数 Buffer, 整数型, 传址
    .参数 Bufsize, 整数型
    .参数 pReqsize, 整数型

.DLL命令 RtlAdjustPrivilege, 整数型, "ntdll.dll", "RtlAdjustPrivilege"
    .参数 Privilege, 整数型
    .参数 Enable, 逻辑型
    .参数 CurrentThread, 逻辑型
    .参数 Enabled, 整数型, 传址

.DLL命令 CreateToolhelp32Snapshot, 整数型, "kernel32.dll", "CreateToolhelp32Snapshot"
    .参数 lFlags, 整数型
    .参数 lProcessID, 整数型

.DLL命令 Process32First, 整数型, "kernel32.dll", "Process32First"
    .参数 快照句柄, 整数型
    .参数 进程信息, PROCESSENTRY32

.DLL命令 Process32Next, 整数型, "kernel32.dll", "Process32Next"
    .参数 快照句柄, 整数型
    .参数 进程信息, PROCESSENTRY32

.DLL命令 Thread32First, 整数型, "kernel32.dll", "Thread32First"
    .参数 hSnapshot, 整数型
    .参数 lppe, THREADENTRY32

.DLL命令 Thread32Next, 整数型, "kernel32.dll", "Thread32Next"
    .参数 hSnapshot, 整数型
    .参数 lppe, THREADENTRY32

.DLL命令 ZwQueryInformationThread, 整数型, "ntdll.dll", "ZwQueryInformationThread"
    .参数 ThreadHandle, 整数型
    .参数 ThreadInformationClass, 整数型
    .参数 ThreadInformation, 整数型, 传址
    .参数 ThreadInformationLength, 整数型
    .参数 ReturnLength, 整数型, 传址

.DLL命令 CloseHandle, 整数型, "ntdll.dll", "ZwClose"
    .参数 对象句柄, 整数型

.DLL命令 GetMappedFileNameA, 整数型, "psapi.dll", "GetMappedFileNameA"
    .参数 hProcess, 整数型
    .参数 lpv, 整数型
    .参数 lpFilenamev, 文本型, 传址
    .参数 nSize, 整数型

.DLL命令 GetProcessImageFileNameA, 整数型, "Psapi.dll", "GetProcessImageFileNameA"
    .参数 hProcess, 整数型
    .参数 lpFileName, 文本型
    .参数 dwSize, 整数型

.DLL命令 判断句柄_, 逻辑型, "user32.dll", "IsWindow"
    .参数 hwnd, 整数型

.DLL命令 取句柄_, 整数型, "user32.dll", "GetDesktopWindow"

.DLL命令 取得窗口_, 整数型, "user32.dll", "GetWindow"
    .参数 源窗口, 整数型
    .参数 关系, 整数型

.DLL命令 取父窗口_, 整数型, "user32.dll", "GetParent"
    .参数 窗口句柄, 整数型

.DLL命令 判断可见_, 逻辑型, "user32.dll", "IsWindowVisible"
    .参数 hwnd, 整数型

.DLL命令 判断子窗口_, 逻辑型, "user32.dll", "IsChild"
    .参数 父窗口句柄, 整数型
    .参数 欲测试的窗口句柄, 整数型

.DLL命令 取标题_, 整数型, "user32.dll", "GetWindowTextA"
    .参数 窗口句柄, 整数型
    .参数 缓冲区, 文本型
    .参数 缓冲尺寸, 整数型

.DLL命令 发送消息_, 整数型, "user32.dll", "SendMessageTimeoutA"
    .参数 hwnd, 整数型
    .参数 msg, 整数型
    .参数 wparam, 整数型
    .参数 lparam, 文本型
    .参数 fuflags, 整数型
    .参数 utimeout, 整数型
    .参数 lpdwresult, 整数型

.DLL命令 取类名_, 整数型, "user32.dll", "GetClassNameA"
    .参数 窗口句柄, 整数型
    .参数 缓冲区, 文本型, 传址
    .参数 缓冲区长度, 整数型

.DLL命令 ZwOpenProcess, 整数型, "ntdll.dll", "ZwOpenProcess"
    .参数 进程ID, 整数型, 传址
    .参数 访问级别, 整数型
    .参数 对象属性, 对象属性_
    .参数 客户ID, 客户类型_

.DLL命令 ZwOpenThread, 整数型, "ntdll.dll", "ZwOpenThread"
    .参数 ThreadHandle, 整数型, 传址
    .参数 AccessMask, 整数型
    .参数 ObjectAttributes, 对象属性_
    .参数 ClientId, 客户类型_

.DLL命令 GetLogicalDriveStringsA, 整数型, "kernel32.dll", "GetLogicalDriveStringsA"
    .参数 nBufferLength, 整数型
    .参数 lpBuffer, 字节集

.DLL命令 QueryDosDeviceA, 整数型, "kernel32.dll", "QueryDosDeviceA"
    .参数 lpDeviceName, 文本型
    .参数 lpTargetPath, 文本型
    .参数 ucchMax, 整数型

.DLL命令 NtQuerySystemInformation, 整数型, "NTDLL.dll", "NtQuerySystemInformation"
    .参数 SystemInformationClass, 整数型
    .参数 pSystemInformation, 整数型
    .参数 SystemInformationLength, 整数型
    .参数 ReturnLength, 整数型, 传址

.DLL命令 LocalAlloc, 整数型, "kernel32", "LocalAlloc"
    .参数 wFlags, 整数型
    .参数 wBytes, 整数型

.DLL命令 CopyMemory, , , "RtlMoveMemory"
    .参数 pDst, MODULES
    .参数 pSrc, 整数型
    .参数 ByteLen, 整数型

.DLL命令 LocalFree, 整数型, "kernel32", "LocalFree"
    .参数 hMem, 整数型

.DLL命令 启动线程_, 整数型, "kernel32", "CreateThread"
    .参数 lpThreadAttributes, 整数型
    .参数 dwStackSize, 整数型
    .参数 lpStartAddress, 子程序指针
    .参数 lpParameter, 整数型
    .参数 dwCreationFlags, 整数型
    .参数 lpThreadId, 整数型, 传址

.DLL命令 进程优先级_, 整数型, "kernel32", "SetPriorityClass"
    .参数 进程句柄, 整数型
    .参数 级别, 整数型

.DLL命令 NtShutdownSystem, 逻辑型, "ntdll.dll", "NtShutdownSystem"
    .参数 关闭方式, 整数型

.DLL命令 NtRaiseHardError, 整数型, "ntdll.dll"
    .参数 ErrorStatus
    .参数 NumberOfParameters
    .参数 UnicodeStringParameterMask
    .参数 Parameters
    .参数 ResponseOption
    .参数 Response, , 传址

.DLL命令 NtSetInformationProcess, 整数型, "NTDLL.DLL"
    .参数 ProcessHandle, 整数型
    .参数 ProcessInformationClass, 整数型
    .参数 ProcessInformation, 整数型, 传址
    .参数 ProcessInformationLength, 整数型

.DLL命令 NtSetInformationThread, 整数型, "ntdll.dll"
    .参数 ThreadHandle
    .参数 ThreadInformationClass
    .参数 ThreadInformation, , 传址
    .参数 ThreadInformationLength

.DLL命令 MessageBoxA, 整数型, , "MessageBoxA"
    .参数 hWnd, 整数型
    .参数 lpText, 文本型
    .参数 lpCaption, 文本型
    .参数 uType, 整数型

调用的DLL命令:

.DLL命令 取当前进程标识符_, 整数型, , "GetCurrentProcessId"

.DLL命令 MessageBoxExA, 整数型
    .参数 hWnd, 整数型
    .参数 Text, 文本型
    .参数 Caption, 文本型
    .参数 Type, 整数型
    .参数 LanguageId, 整数型

.DLL命令 优化内存_, 整数型, "kernel32", "SetProcessWorkingSetSize"
    .参数 进程句柄, 整数型
    .参数 最小内存, 整数型
    .参数 最大内存, 整数型

.DLL命令 当前线程标志符_, 整数型, "kernel32", "GetCurrentThreadId"