Авто поток резюме с ++

Question

Я создаю модуль Simple Anticheat для игры, и мне нужно защитить поток от приостановки (как приостановка потока от Processhacker).

Есть ли способ автоматически возобновить поток, если он приостановлен?

Вот мой код модуля:

#include "stdafx.h"
#include "Start.h"

void Msg_Sf_Br(){
    MessageBoxA(NULL,"SpeedHack - Detect", load.Nome_das_Janelas, MB_SERVICE_NOTIFICATION | MB_ICONWARNING);
ExitProcess(0);
} 

void Msg_Sf_En(){
    MessageBoxA(NULL,"SpeedHack - Detect", load.Nome_das_Janelas, MB_SERVICE_NOTIFICATION | MB_ICONWARNING);
ExitProcess(0);
}

void Speed_perf()
{
if( *(unsigned long*)QueryPerformanceCounter != 2337669003 ){
if (load.Log_Txt_Hack == 1){
}

    if (load.Message_Warning_En == 1){
    ExitProcess(0); 
}
    if (load.Message_Warning_En == 2){
    CreateThread(NULL,NULL,LPTHREAD_START_ROUTINE(Msg_Sf_Br),NULL,0,0);
    Sleep(3000); 
    ExitProcess(0);  
}

    if (load.Message_Warning_En == 0){
    ExitProcess(0);
    }
    else
    ExitProcess(0);
}
}


void performance(){
    if (load.Anti_Kill_Scans == 1)
    {
again:
    Speed_perf();
    Sleep(load.Detecta_Speed_PerformanceT);
    goto again;
}
    else
    {
again2:
    Speed_perf();
    Sleep(load.Detecta_Speed_PerformanceT);
    goto again2;
}
}

void SPerformance(){
    CreateThread(NULL,NULL,LPTHREAD_START_ROUTINE(performance),NULL,0,0);
    }

Есть идеи?

Answer 1

С помощью небольшой хитрости вы можете скрыть свой поток от любого отладчика или таких инструментов, как процессный хакер.

void func() 
{
}

int main()
{
    int(__stdcall* ZwCreateThreadEx)(HANDLE, ACCESS_MASK, POBJECT_ATTRIBUTES, HANDLE, PVOID, PVOID, ULONG, ULONG_PTR, SIZE_T, SIZE_T, PVOID) = (decltype(ZwCreateThreadEx))GetProcAddress(GetModuleHandle("ntdll.dll"),"ZwCreateThreadEx");
    HANDLE hThread=0;
    ZwCreateThreadEx(&hThread,0x1FFFFF,0,GetCurrentProcess(), 
            (LPTHREAD_START_ROUTINE)func,0, 0x4/*hide flag*/,0,0x1000,0x10000,0);
    return 0;
}

Answer 2

Вы можете сделать это следующим образом:

• получить список идентификаторов потоков процесса, используя CreateToolhelp32Snapshot
• , перейти к первому потоку, используя методы: Thread32First.
• для каждого найденного потока (вы должны проверить, принадлежит ли он указанному процессу):
• , затем открыть поток, используя OpenThread, чтобы извлечь дескриптор потока из его идентификатора потока,
• когда у вас есть дескриптор, вы можете приостановить поток, используя SuspendThread таким образом, чтобы получить предыдущее число приостановок,
• , затем вы можете возобновить поток, пока счетчик приостановок не станет 0. Вы должны возобновить как минимумодин раз для отмены приостановки с предыдущего шага.
• если нить не может быть приостановлена, вы можете использовать ResumeThread просто для получения отсчета приостановки, даже если она не была приостановлена.
• Закройте дескриптор нити, используя CloseHandle
• , перейдите к следующему нити, используя Thread32Next.

Для того, чтобы вы могли выполнять все, что вам нужнозапустить от имени администратора.

Вот пример:

void TraverseProcessThreads(DWORD pid)
{
  HANDLE hSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, 0); //get list of all system thread
  if( hSnapshot == INVALID_HANDLE_VALUE)
  { 
     //print error and return;
     return;
  }
  THREADENTRY32 threadEntry;
  if( Thread32First( hSnapshot, &threadEntry) ) 
  {
     size_t threadsCounter = 0, suspendedThreadsCounter=0;
     do{
       if(te.th32OwnerProcessID == pid) //we get all threads in system, should filter the relevant pid.
       {
         threadsCounter ++; //found thread
         HANDLE hThread = OpenThread(THREAD_ALL_ACCESS,FALSE,te.th32ThreadID); //get  handle to thread from its thread id
         if(hThread == NULL) //
         {
           //print error and break. (will be permission error if not administrator)
           break; 
         }
         int suspensionCount = SuspendThread( hThread ) ;//will return previous suspension count. you can also use ResumeThread if there's no way it can be suspended.
         if(suspensionCount > 0) 
         {
            //thread was suspended 
            suspendedThreadsCounter ++;   
         }
         //cancel our suspension... 
         suspensionCount = ResumeThread(hThread );

         /*to resume suspended thread use ResumeThread until it return 1.
         do{
           suspensionCount = ResumeThread(hThread );
         }while (suspensionCount > 1); //similar to Suspend Resume return previous Suspention count. 
         */   
       }  
       CloseHandle(hThread);      
     }while(Thread32Next( hSnapshot, &threadEntry) );
     //print results:
     cout<<"process id"<<pid<<endl<<" has "<<threadsCounter <<" threads " <<endl
       <<suspendedThreadsCounter <<" threads was suspended"<<endl;
  }
  else{
    //print some error...
  } 
  CloseHandle(hSnapshot);
}