سؤال حول حماية لعبة & IsDebuggerPresent

[Venom]

جربت نزل لعبة نسخة اصلية بدون كراك لكي اجاول ان اقوم بكسرها
حمايتها من نوع: 
SafeDisc 2.80.010 -> Macrovision [Overlay]

لدراسة مثل هذه الحماية تحتاج إلي استخدام نظام Windows ويفضل أن يكون XP، لكن إذا كان النظام Vista أو Windows 7 فيجب أن يكون بدون التحديث KB3086255؛ لإنه يوقف عمل هذه الحماية لأسباب أمنية، بالإضافة إلي استخدام DAEMON Tools أو Alcohol 120% لمحاكاة صورة من القرص المدمج الخاص باللعبة كي تستطيع تنقيحها بشكل سليم.

 عندما حملتها في OllyDbg كانت جميع الدوال سليمة
هل هذا يعني انه ليست محمية وانما مضغوطة  packer ؟

إذا كنت تحمل ملف اللعبة المحمي فالأغلب أن ما تراه هو دوال خاصة ب Loader المسؤول عن فك التشفير، فالحماية في الإصدار الأول لها كانت تقوم بتشفير ملف اللعبة بامتداد ICD. بالإضافة لملف اخر لفك التشفير وتم دمج الملفين إلي ملف واحد في الإصدار الثاني.

بعد ان حملتها OllyDbg جربت اشغلها ولكن حدث  Terminater
بعدها وضعت نقطة توقف على دالة ْIsDebuggerPresentt وبعد توقف البرنامج عندها جعلته يقفز للمكان الذي لم يكن سيقفز عليه
ولكن ايضا حدث Terminater

الحماية تستخدم هذه الآليات لكشف المنقح:

• IsDebuggerPresent().
  
• .PEB!IsDebugged
  
• ZwQueryInformationProcess().
  

يمكنك تجاوز هذه الآليات إما يدوياً أو باستخدام إضافة، وتوجد آليه اخري في الإصدارات الأحدث نسبياً؛ حيث تقوم الحماية بإنشاء ملف تنفيذي مؤقت يقوم بتنقيح الملف الرئيسي، مما يمنع تنقيحه باستخدام أي منقح آخر من فئة (Ring 3) مثل OllyDbg أو x64dbg، وتعتمد هذه الآلية علي إنشاء ملف تنفيذي مؤقت، وتنتظر الحماية إشارة منه باستخدام الدالة WaitForSingleObject، ويقوم هذا الملف المؤقت بعمل Attach للملف الرئيسي وإرسال هذه الإشارة ثم يكمل تنقيحه.

تستطيع التغلب علي هذه الآلية إما عن طريق التعديل علي الدالة WaitForSingleObject وتغيير الزمن من لا نهائي إلي صفر، أو منع الحماية من إنشاء هذا الملف التنفيذي المؤقت عن طريق عدم تنفيذ الدالة CreateProcessA، وستحتاج إلي إجراء بعد التعديلات أثناء التنقيح كي لا يحدث خطأ أثناء تنفيذ البرنامج.