1.访问注册表出错
2.虚幻4(ue4)引擎加密pak解包教程（初学者向x64源码逆向）

访问注册表出错

       因为每台 电脑的游戏源码r游用户 不同 访问 权限不同

       只要替换 你这个 S-1-5-----  就可以导入

       运行  regedit

       你打开注册表找到这个项 是什么 数字

       替换上面的数字 即可 导入

程序不知道怎么调，那个MBUS

       驱动程序开发的戏源戏一个重大难点就是不易调试。本文目的码何就是介绍驱动开发中常用的几种直接和间接的调试手段，它们是制作：

       1、利用printk

       2、为游查看OOP消息

       3、游戏源码r游javastack源码利用strace

       4、戏源戏利用内核内置的码何hacking选项

       5、利用ioctl方法

       6、制作利用/proc 文件系统

       7、为游使用kgdb

       前两种如下：

       一、游戏源码r游利用printk

       这是戏源戏驱动开发中最朴实无华，同时也是码何最常用和有效的手段。scull驱动的制作main.c第行如下，就是为游使用printk进行调试的例子，这样的例子相信大家在阅读驱动源码时随处可见。

        //              printk(KERN_ALERT "wakeup by signal in process %d\n", current-pid);

       printk的功能与我们经常在应用程序中使用的printf是一样的，不同之处在于printk可以在打印字符串前面加上内核定义的宏，例如上面例子中的KERN_ALERT（注意：宏与字符串之间没有逗号）。

       #define KERN_EMERG "0"

       #define KERN_ALERT "1"

       #define KERN_CRIT "2"

       #define KERN_ERR "3"

       #define KERN_WARNING "4"

       #define KERN_NOTICE "5"

       #define KERN_INFO "6"

       #define KERN_DEBUG "7"

       #define DEFAULT_CONSOLE_LOGLEVEL 7

       这个宏是用来定义需要打印的字符串的级别。值越小，级别越高。内核中有个参数用来控制是否将printk打印的字符串输出到控制台（屏幕或者/sys/log/syslog日志文件）

       # cat /proc/sys/kernel/printk

       6       4       1       7

       第一个6表示级别高于（小于）6的消息才会被输出到控制台，第二个4表示如果调用printk时没有指定消息级别（宏）则消息的级别为4，第三个1表示接受的最高（最小）级别是1，第四个7表示系统启动时第一个6原来的初值是7。

       因此，如果你发现在控制台上看不到你程序中某些printk的输出，请使用echo 8  /proc/sys/kernel/printk来解决。

       在复杂驱动的开发过程中，为了调试会在源码中加入成百上千的printk语句。而当调试完毕形成最终产品的超流量网站源码时候必然会将这些printk语句删除想想驱动的使用者而不是开发者吧。记住：己所不欲，勿施于人），这个工作量是不小的。最要命的是，如果我们将调试用的printk语句删除后，用户又报告驱动有bug，所以我们又不得不手工将这些上千条的printk语句再重新加上。oh，my god，杀了我吧。所以，我们需要一种能方便地打开和关闭调试信息的手段。哪里能找到这种手段呢？哈哈，远在天边，近在眼前。看看scull驱动或者leds驱动的源代码吧！

       #define LEDS_DEBUG

       #undef PDEBUG          

       #ifdef LEDS_DEBUG

       #ifdef __KERNEL__

           #define PDEBUG(fmt, args…) printk( KERN_EMERG "leds: " fmt, ## args)

       #else

           #define PDEBUG(fmt, args…) fprintf(stderr, fmt, ## args)

       #endif

       #else

       #define PDEBUG(fmt, args…)

       #endif

       #undef PDEBUGG

       #define PDEBUGG(fmt, args…)

       这样一来，在开发驱动的过程中，如果想打印调试消息，我们就可以用PDEBUG("address of i_cdev is %p\n", inode-i_cdev);，如果不想看到该调试消息，就只需要简单的将PDEBUG改为PDEBUGG即可。而当我们调试完毕形成最终产品时，只需要简单地将第1行注释掉即可。

       上边那一段代码中的__KERNEL__是内核中定义的宏，当我们编译内核（包括模块）时，它会被定义。当然如果你不明白代码中的…和##是什么意思的话，就请认真查阅一下gcc关于预处理部分的资料吧！如果你实在太懒不愿意去查阅的话，那就充当VC工程师把上面的图书小程序源码代码copy到你的代码中去吧。

       二、查看OOP消息

       OOP意为惊讶。当你的驱动有问题，内核不惊讶才怪：嘿！小子，你干吗乱来！好吧，就让我们来看看内核是如何惊讶的。

       根据faulty.c（单击下载）编译出faulty.ko，并 inod faulty.ko。执行echo yang /dev/faulty，结果内核就惊讶了。内核为什么会惊讶呢？因为faulty驱动的write函数执行了(int )0 = 0，向内存0地址写入，这是内核绝对不会容许的。

        ssize_t faulty_write (struct file filp, const char __user buf, size_t count,

                        loff_t pos)

        {

                (int )0 = 0;

                return 0;

        }

       1 Unable to handle kernel NULL pointer dereference at virtual address

       2 pgd = c

       3 [] pgd=, pte=, ppte=

       4 Internal error: Oops: [#1] PREEMPT

       5 Modules linked in: faulty scull

       6 CPU: 0    Not tainted  (2.6..6 #4)

       7 PC is at faulty_write0×/0× [faulty]

       8 LR is at vfs_write0xc4/0×

       9 pc : []    lr : []    psr: a

        sp : cf  ip : cf  fp : cf

        r: c  r9 : c  r8 :

        r7 :  r6 : cf  r5 :  r4 : ce

        r3 : cf  r2 :  r1 :  r0 :

        Flags: NzCv  IRQs on  FIQs on  Mode SVC_  Segment user

        Control: cf  Table:  DAC:

        Process sh (pid: , stack limit = 0xc)

        Stack: (0xcf to 0xc)

        1f:          cf cf ceb8 bfc ce ce

        1f: cf cfa4 cf cffc ce

        1f: cc0e4 cfa8

        1fa0: cbf cfc0

        1fc0: c

        1fe0: bea c adb

        Backtrace:

        [] (faulty_write0×0/0× [faulty]) from [] (vfs_write0xc4/0×)

        [] (vfs_write0×0/0×) from [] (sys_write0x4c/0×)

         r7: r6:cf r5:ce r4:ce

        [] (sys_write0×0/0×) from [] (ret_fast_syscall0×0/0x2c)

         r8:cc0e4 r7: r6: r5: r4:

        Code: e1a0cd edd ecb e3a (e)

       1行惊讶的原因，也就是报告出错的原因；

       2-4行是OOP信息序号；

       5行是出错时内核已加载模块；

       6行是发生错误的CPU序号；

       7-行是发生错误的位置，以及当时CPU各个寄存器的值，这最有利于我们找出问题所在地；

       行是当前进程的名字及进程ID

       -行是出错时，栈内的内容

       -行是栈回溯信息，可看出直到出错时的函数递进调用关系（确保CONFIG_FRAME_POINTER被定义）

       行是出错指令及其附近指令的机器码，出错指令本身在小括号中

       反汇编faulty.ko（ arm-linux-objdump -D faulty.ko  faulty.dis ；cat faulty.dis）可以看到如下的语句如下：

       c :

       7c:   e1a0cd        mov     ip, sp

       :   edd        stmdb   sp!, { fp, ip, lr, pc}

       :   ecb        sub     fp, ip, #4      ; 0×4

       :   e3a        mov     r0, #0  ; 0×0

       8c:   e        str     r0, [r0]

       :   eda        ldmia   sp, { fp, sp, pc}

       定位出错位置以及获取相关信息的过程：

       9 pc : []    lr : []    psr: a

        [] (faulty_write0×0/0× [faulty]) from [] (vfs_write0xc4/0×)

        [] (vfs_write0×0/0×) from [] (sys_write0x4c/0×)

       出错代码是faulty_write函数中的第5条指令（(0xbfc-0xbfc)/=5），该函数的首地址是0xbfc，该函数总共6条指令（0×），该函数是被0xceb8的前一条指令调用的（即：函数返回地址是0xceb8。这一点可以从出错时lr的值正好等于0xceb8得到印证）。调用该函数的指令是vfs_write的第条（0xc4/4=）指令。

       达到出错处的函数调用流程是：write(用户空间的系统调用)–sys_write–vfs_write–faulty_write

       OOP消息不仅让我定位了出错的地方，更让我惊喜的是，它让我知道了一些秘密：1、gcc中fp到底有何用处？2、gsdll32 源码为什么gcc编译任何函数的时候，总是要把3条看上去傻傻的指令放在整个函数的最开始？3、内核和gdb是如何知道函数调用栈顺序，并使用函数的名字而不是地址？ 4、我如何才能知道各个函数入栈的内容？哈哈，我渐渐喜欢上了让内核惊讶，那就再看一次内核惊讶吧。

       执行 cat /dev/faulty，内核又再一次惊讶！

       1 Unable to handle kernel NULL pointer dereference at virtual address b

       2 pgd = c3a

       3 [b] pgd=a, pte=, ppte=

       4 Internal error: Oops: [#2] PREEMPT

       5 Modules linked in: faulty

       6 CPU: 0    Not tainted  (2.6..6 #4)

       7 PC is at vfs_read0xe0/0×

       8 LR is at 0xffffffff

       9 pc : []    lr : []    psr:

        sp : cd9f  ip : c  fp : ffffffff

        r:  r9 : cd  r8 :

        r7 :  r6 : ffffffff  r5 : ffffffff  r4 : ffffffff

        r3 : ffffffff  r2 :  r1 : cd9f  r0 :

        Flags: nzCv  IRQs on  FIQs on  Mode SVC_  Segment user

        Control: cf  Table: a  DAC:

        Process cat (pid: , stack limit = 0xcd)

        Stack: (0xcd9f to 0xcda)

        9f:                                               c3ca0 c3c

        9f: cd9f cd9fa4 cd9f cf cbb4

        9f: befc cc0e4 cd9fa8

        9fa0: cbf cf4c befc befc

        9fc0: befc

        9fe0: befc6c c adab0

        Backtrace: invalid frame pointer 0xffffffff

        Code: ebffff e e1a da (ec)

        Segmentation fault

       不过这次惊讶却令人大为不解。OOP竟然说出错的地方在vfs_read（要知道它可是大拿们千锤百炼的内核代码），这怎么可能？哈哈，万能的内核也不能追踪函数调用栈了，这是为什么？其实问题出在faulty_read的行，它导致入栈的r4、r5、r6、fp全部变为了0xffffffff，ip、lr的值未变，这样一来faulty_read函数能够成功返回到它的调用者——vfs_read。但是可怜的vfs_read（忠实的APTCS规则遵守者）并不知道它的r4、r5、r6已经被万恶的faulty_read改变，这样下去vfs_read命运就可想而知了——必死无疑！虽然内核很有能力，但缺少了正确的fp的帮助，它也无法追踪函数调用栈。

        ssize_t faulty_read(struct file filp, char __user buf,

                            size_t count, loff_t pos)

        {

                int ret;

                char stack_buf[4];

                memset(stack_buf, 0xff, );

                if (count  4)

                        count = 4;

                ret = copy_to_user(buf, stack_buf, count);

                if (!ret)

                        return count;

                return ret;

        }

        :

       0:   e1a0cd        mov     ip, sp

       4:   edd        stmdb   sp!, { r4, r5, r6, fp, ip, lr, pc}

       8:   ecb        sub     fp, ip, #4      ; 0×4

       c:   edd        sub     sp, sp, #4      ; 0×4，这里为stack_buf[]在栈上分配1个字的空间，局部变量ret使用寄存器存储，c 软件注册源码因此就不在栈上分配空间了

       :   ebc        sub     r5, fp, #     ; 0x1c

       :   e1a        mov     r4, r1

       :   e1a        mov     r6, r2

       1c:   e3aff        mov     r1, #        ; 0xff

       :   e3a        mov     r2, # ; 0×

       :   e1a        mov     r0, r5

       :   ebfffffe        bl         //这里在调用memset

       :   eda        ldmia   sp, { r3, r4, r5, r6, fp, sp, pc}

       这次OOP，深刻地认识到：

       内核能力超强，但它不是，也不可能是万能的。所以即使你能力再强，也要和你的team member搞好关系，否则在关键时候你会倒霉的；

       出错的是faulty_read，vfs_read却做了替罪羊。所以人不要被表面现象所迷惑，要深入看本质；

       内核本来超级健壮，可是你写的驱动是内核的组成部分，由于它出错，结果整体。所以当你加入一个团队的时候一定要告诫自己，虽然你的角色也许并不重要，但你的疏忽大意将足以令整个非常牛X的团队。反过来说，当你是team leader的时候，在选团队成员的时候一定要慎重、慎重、再慎重，即使他只是一个小角色。

工商银行pOS机出现什么意思

       你好，工商银行pos机错误代码 设备检测到异常请联系服务商，这个是系统坏了故障了，无法使用请联系工商银行吧！

不知道中了什么病毒?求高人指点!!

       识别电脑的病毒：

       1、系统病毒

       系统病毒的前缀为：Win、PE、Win、W、W等。这些病毒的一般公有的特性是可以感染windows操作系统的 .exe 和 .dll 文件，并通过这些文件进行传播。如CIH病毒。

       2、蠕虫病毒

       蠕虫病毒的前缀是：Worm。这种病毒的公有特性是通过网络或者系统漏洞进行传播，很大部分的蠕虫病毒都有向外发送带毒邮件，阻塞网络的特性。比如冲击波（阻塞网络），小邮差（发带毒邮件） 等。

       3、木马病毒、黑客病毒

       木马病毒其前缀是：Trojan，黑客病毒前缀名一般为 Hack 。木马病毒的公有特性是通过网络或者系统漏洞进入用户的系统并隐藏，然后向外界泄露用户的信息，而黑客病毒则有一个可视的界面，能对用户的电脑进行远程控制。木马、黑客病毒往往是成对出现的，即木马病毒负责侵入用户的电脑，而黑客病毒则会通过该木马病毒来进行控制。现在这两种类型都越来越趋向于整合了。一般的木马如QQ消息尾巴木马 Trojan.QQ ，还有大家可能遇见比较多的针对网络游戏的木马病毒如 Trojan.LMir.PSW. 。这里补充一点，病毒名中有PSW或者什么PWD之类的一般都表示这个病毒有**密码的功能（这些字母一般都为“密码”的英文“password”的缩写）一些黑客程序如：网络枭雄（Hack.Nether.Client）等。

       4、脚本病毒

       脚本病毒的前缀是：Script。脚本病毒的公有特性是使用脚本语言编写，通过网页进行的传播的病毒，如红色代码（Script.Redlof）——可不是我们的老大代码兄哦^_^。脚本病毒还会有如下前缀：VBS、JS（表明是何种脚本编写的），如欢乐时光（VBS.Happytime）、十四日（Js.Fortnight.c.s）等。

       5、宏病毒

       其实宏病毒是也是脚本病毒的一种，由于它的特殊性，因此在这里单独算成一类。宏病毒的前缀是：Macro，第二前缀是：Word、Word、Excel、Excel（也许还有别的）其中之一。凡是只感染WORD及以前版本WORD文档的病毒采用Word做为第二前缀，格式是：Macro.Word；凡是只感染WORD以后版本WORD文档的病毒采用Word做为第二前缀，格式是：Macro.Word；凡是只感染EXCEL及以前版本EXCEL文档的病毒采用Excel做为第二前缀，格式是：Macro.Excel；凡是只感染EXCEL以后版本EXCEL文档的病毒采用Excel做为第二前缀，格式是：Macro.Excel，依此类推。该类病毒的公有特性是能感染OFFICE系列文档，然后通过OFFICE通用模板进行传播，如：著名的美丽莎(Macro.Melissa)。

       6、后门病毒

       后门病毒的前缀是：Backdoor。该类病毒的公有特性是通过网络传播，给系统开后门，给用户电脑带来安全隐患。如很多朋友遇到过的IRC后门Backdoor.IRCBot 。

       7、病毒种植程序病毒

       这类病毒的公有特性是运行时会从体内释放出一个或几个新的病毒到系统目录下，由释放出来的新病毒产生破坏。如：冰河播种者（Dropper.BingHe2.2C）、MSN射手(Dropper.Worm.Smibag)等。

       8．破坏性程序病毒

       破坏性程序病毒的前缀是：Harm。这类病毒的公有特性是本身具有好看的图标来诱惑用户点击，当用户点击这类病毒时，病毒便会直接对用户计算机产生破坏。如：格式化C盘（Harm.formatC.f）、杀手命令（Harm.Command.Killer）等。

       9．玩笑病毒

       玩笑病毒的前缀是：Joke。也称恶作剧病毒。这类病毒的公有特性是本身具有好看的图标来诱惑用户点击，当用户点击这类病毒时，病毒会做出各种破坏操作来吓唬用户，其实病毒并没有对用户电脑进行任何破坏。如：女鬼（Joke.Girlghost）病毒。

       ．捆绑机病毒

       捆绑机病毒的前缀是：Binder。这类病毒的公有特性是病毒作者会使用特定的捆绑程序将病毒与一些应用程序如QQ、IE捆绑起来，表面上看是一个正常的文件，当用户运行这些捆绑病毒时，会表面上运行这些应用程序，然后隐藏运行捆绑在一起的病毒，从而给用户造成危害。如：捆绑QQ（Binder.QQPass.QQBin）、系统杀手（Binder.killsys）等。以上为比较常见的病毒前缀，有时候我们还会看到一些其他的，但比较少见，这里简单提一下：

       DoS：会针对某台主机或者服务器进行DoS攻击；

       Exploit：会自动通过溢出对方或者自己的系统漏洞来传播自身，或者他本身就是一个用于Hacking的溢出工具；

       HackTool：黑客工具，也许本身并不破坏你的机子，但是会被别人加以利用来用你做替身去破坏别人。

       你可以在查出某个病毒以后通过以上所说的方法来初步判断所中病毒的基本情况，达到知己知彼的效果。在杀毒无法自动查杀，打算采用手工方式的时候这些信息会给你很大的帮助。

landi刷卡机提示

       刷卡机故障或系统需要升级。

       1、landi刷卡机机显示错误，是刷卡机有小故障，需要关闭重启一下。

       2、如重启后还报故障，需要专业人士维修。

pos机错误代码

       POS终端号找不到。。1、无此终端号2、请求交易中终端号与应答交易中终端号不匹配3、关联交易中终端号与原始交易中终端号不匹配

虚幻4(ue4)引擎加密pak解包教程（初学者向x源码逆向）

       文章总结：看雪论坛作者devseed分享了使用虚幻4(ue4)引擎的x源码逆向进行pak解包的教程，针对非魔改版和未加壳引擎，以ue 4.为例，初学者也能理解。教程从观察源码、定位切入点、分析函数与找到密钥，到最后解包的步骤详细展开，旨在帮助读者理解加密pak文件的解密过程。

       步骤1：通过关键字"decrypt"在源码中找到FAES::Key结构，确定了AES-加密。确保游戏版本与源码同步，避免源码修改导致不匹配。

       步骤2：在FPakFile::LoadIndex函数中，致命错误的log成为解密关键，通过xdbg定位到"Corrupted index offset in pak file."相关代码。

       步骤3：在反汇编中，通过函数参数和编译器优化的特性，尤其是Jump指令，追踪DecryptData函数，找到与加密密钥相关的数据结构。

       步骤4：经过调试，确认FPakPlatformFile::GetPakEncryptionKey和FAES::DecryptData的调用，解密密钥即在rcx和r8寄存器中找到，通常为bit的随机数据。

       步骤5：使用加密密钥解包pak文件，通过Base转换和UnrealPak.exe工具，配合crypto.json文件，实现pak文件的解密和文件转换。

       最后，读者可参考相关链接深入学习，逆向分析技术在游戏安全和开发领域具有实际应用价值。