원본 기록 — 프로세스 핸들·커널 드라이버 분석 (2024 당시)

핸들러란?

// 파일 핸들
HANDLE hFile = CreateFile(...);
// 프로세스 핸들
HANDLE hProcess = OpenProcess(...);
// 윈도우 GUI 창 핸들  HWND는 handle to window 의 약자 
HWND hWnd = CreateWindow(...); // 참고로 윈도우 창은 유저 오브젝트임 

TISTORYWindows OS - Kernel Object(커널 오브젝트)

Windows OS - Kernel Object(커널 오브젝트)

커널 오브젝트는 무엇인가? Windows는 Object의 형태로 OS내의 자원을 관리한다. Object는 메모리 블럭의 형태를 띄고있다. C/C++ 의 구조체를 생각하면 된다. https://docs.microsoft.com/en-us/windows/win32/sysinfo/object-categories Object Categories - Win32 apps The system provides three categories of objects: user, graphics device interface (GDI), and kernel. docs.microsoft.com 이중에서, 그 중요도가 높아 Windows Kernel에 의해서 관리되는 자원을 Kernel Object로 분리해두었다. Windows ..

TISTORY

MicrosoftLearnObject Categories - Win32 apps

Object Categories - Win32 apps

The system provides three categories of objects: user, graphics device interface (GDI), and kernel.

MicrosoftLearn

핸들의 역할

그럼 프로세스 핸들러 테이블은 어디에 있을까?

EPROCESS의 주요 역할:

• 프로세스 식별 및 관리: 각 프로세스는 고유한 EPROCESS 구조체를 가지고 있으며, 커널에서 해당 프로세스를 참조할 때 이 구조체를 사용합니다.

• 메모리 관리: 프로세스가 사용하는 가상 메모리 영역을 관리합니다.

• 핸들 테이블 관리: 프로세스가 열어 놓은 핸들 목록을 관리합니다.

• 스레드 정보 관리: 프로세스에 속한 각 스레드에 대한 정보가 포함되어 있습니다.

• 보안 및 권한 관리: 프로세스의 보안 토큰과 접근 권한에 대한 정보가 포함됩니다.

그렇다면 커널도 사용하는 핸들들이 있을까?

Windows Handle Table & Object | Shh0ya Security Lab

Windows Handle Table & Object | Shh0ya Security Lab

Windows Handle Table & Object

프로세스 핸들러 테이블 확인

#include <windows.h>
#include <tlhelp32.h>
#include <iostream>

DWORD GetProcessIdByName(const wchar_t* processName) {
    DWORD processId = 0;
    HANDLE snapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0); // 프로세스 스냅샷 생성

    if (snapshot != INVALID_HANDLE_VALUE) {
        PROCESSENTRY32 processEntry;
        processEntry.dwSize = sizeof(PROCESSENTRY32);

        if (Process32First(snapshot, &processEntry)) {
            do {
                if (_wcsicmp(processEntry.szExeFile, processName) == 0) {
                    processId = processEntry.th32ProcessID; // 프로세스 ID 가져오기
                    break;
                }
            } while (Process32Next(snapshot, &processEntry));
        }
        CloseHandle(snapshot);
    }
    return processId;
}

int main() {
    const wchar_t* processName = L"notepad.exe"; // Notepad 프로세스 이름
    DWORD processId = GetProcessIdByName(processName); // PID 가져오기

    if (processId == 0) {
        std::cout << "Notepad 프로세스를 찾을 수 없습니다." << std::endl;
        return 1;
    }

    // 1. OpenProcess로 프로세스 핸들 열기
    HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, processId);
    if (hProcess == NULL) {
        std::cout << "프로세스 핸들을 열 수 없습니다." << std::endl;
        return 1;
    }

    std::cout << "Notepad 프로세스 핸들 열림! PID: " << processId << std::endl;
    std::cout << "Notepad 프로세스 핸들 값 : " << hProcess << std::endl;

    while (1);
    CloseHandle(hProcess);
    return 0;
}

!handle AC

PROCESS ffffc88e861d7080
    SessionId: 1  Cid: 1d30    Peb: eeb0934000  ParentCid: 1b1c
    DirBase: 69c8e000  ObjectTable: ffff9d87836452c0  HandleCount:  41.
    Image: handleController.exe

Handle table at ffff9d87836452c0 with 41 entries in use

00ac: Object: ffffc88e85bc6080  GrantedAccess: 001fffff (Protected) (Audit) Entry: ffff9d8781c9a2b0
Object: ffffc88e85bc6080  Type: (ffffc88e802ac140) Process
    ObjectHeader: ffffc88e85bc6050 (new version)
        HandleCount: 7  PointerCount: 196515

핸들러를 이용한 Externalhack Anticheat [ Optimize ]

ExternalAnticheatStart.sys

비문서화 명령어

코드 부분

#include <ntddk.h>

UNICODE_STRING FocusMode_driver = RTL_CONSTANT_STRING(L"\\Registry\\Machine\\SYSTEM\\CurrentControlSet\\Services\\ExternalDriver");


HANDLE targetPID = NULL;



// 모드가 1일 때 다른 드라이버 로드
NTSTATUS LoadDriver(UNICODE_STRING target_driver) {
	NTSTATUS status = ZwLoadDriver(&target_driver);
	if (NT_SUCCESS(status)) {
		DbgPrint("Driver loaded successfully\n");
	}
	else {
		DbgPrint("Failed to load driver: %08x\n", status);
	}
	return status;
}

NTSTATUS UnloadDriver(UNICODE_STRING target_driver) {
	NTSTATUS status = ZwUnloadDriver(&target_driver);
	if (NT_SUCCESS(status)) {
		DbgPrint("Driver unloaded successfully\n");
	}
	else {
		DbgPrint("Failed to unload driver: %08x\n", status);
	}
	return status;
}

VOID ExecuteWhenNotepadIsCreated(HANDLE ProcessId) {
	//DbgPrint("Executing specific function for Notepad. Process ID: %d\n", ProcessId);
	UNREFERENCED_PARAMETER(ProcessId);

	NTSTATUS status = LoadDriver(FocusMode_driver);
	if (NT_SUCCESS(status)) {

	}
}

VOID ExecuteWhenNotepadIsClosed(HANDLE ProcessId) {
	//DbgPrint("Executing specific function for Notepad. Process ID: %d\n", ProcessId);
	UNREFERENCED_PARAMETER(ProcessId);
	NTSTATUS status = UnloadDriver(FocusMode_driver);
	if (NT_SUCCESS(status)) {

	}
}

NTSTATUS PsLookupProcessByProcessId(
	HANDLE    ProcessId,
	PEPROCESS* Process
);

NTSTATUS TerminateProcess(HANDLE ProcessId) {
	NTSTATUS status;
	PEPROCESS targetProcess;

	// 프로세스 핸들을 얻기 위해 EPROCESS 구조체 참조
	status = PsLookupProcessByProcessId(ProcessId, &targetProcess);
	if (NT_SUCCESS(status)) {
		// 프로세스 종료
		status = ZwTerminateProcess(targetProcess, STATUS_SUCCESS);
		if (NT_SUCCESS(status)) {
			DbgPrint("Terminated duplicate Notepad process, PID = %d\n", ProcessId);
		}
		else {
			DbgPrint("Failed to terminate process, status: 0x%08x\n", status);
		}
		// 참조 해제
		ObDereferenceObject(targetProcess);
	}
	else {
		DbgPrint("Failed to find process, status: 0x%08x\n", status);
	}

	return status;
}



VOID CreateProcessNotifyEx(
	PEPROCESS Process,
	HANDLE ProcessId,
	PPS_CREATE_NOTIFY_INFO CreateInfo
) {
	UNREFERENCED_PARAMETER(Process);

	if (CreateInfo != NULL) {
		// 프로세스가 생성될 때 실행
		UNICODE_STRING targetProcess;
		RtlInitUnicodeString(&targetProcess, L"\\??\\C:\\Windows\\System32\\notepad.exe");

		if (CreateInfo->ImageFileName != NULL && RtlCompareUnicodeString(&targetProcess, CreateInfo->ImageFileName, TRUE) == 0) {

			if (!targetPID) {
				DbgPrint("process is already running");// 중복　프로세스　방지
				TerminateProcess(ProcessId);
				return;
			}
			targetPID = ProcessId;
			DbgPrint("Notepad process created: PID = %d\n", ProcessId);
			ExecuteWhenNotepadIsCreated(ProcessId);
		}
	}
	else {   // 프로세스가 종료될떄
		if (ProcessId == targetPID) {
			DbgPrint("Notepad process closed: PID = %d\n", ProcessId);
			ExecuteWhenNotepadIsClosed(ProcessId);
			targetPID = NULL;
		}


	}
}


NTSTATUS DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegistryPath) {
	UNREFERENCED_PARAMETER(RegistryPath);
	UNREFERENCED_PARAMETER(DriverObject);

	// 프로세스 시작 콜백함수 
	NTSTATUS status = PsSetCreateProcessNotifyRoutineEx(CreateProcessNotifyEx, FALSE);
	if (!NT_SUCCESS(status)) {
		DbgPrint("Failed to register process notify routine\n");
		return status;
	}

	// 기타 기본적인 감시 EX) 불법적인 드라이브 로드 , 불법적인 프로그램 실행  




	DbgPrint("Driver Loaded\n");

	return STATUS_SUCCESS;
}

1. 프로세스 시작 콜백에서 블랙리스트 구현

2. 미심쩍한 다른 드라이버가 로드되면 언로드 시키기

ExternalAnticheat.sys (집중 탐지용)

#include <ntddk.h>

PVOID g_CallbackHandle = NULL;

HANDLE processId = NULL; HANDLE pid;

HANDLE internalPid = NULL;

char MODE_NUM = 0;
// MODE_NUM 0  normal mode
// MODE_NUM 1  focus mode

typedef enum _SYSTEM_INFORMATION_CLASS {
	SystemBasicInformation = 0,
	SystemPerformanceInformation = 2,
	SystemTimeOfDayInformation = 3,
	SystemProcessInformation = 5,
	SystemProcessorPerformanceInformation = 8,
	SystemInterruptInformation = 23,
	SystemExceptionInformation = 33,
	SystemRegistryQuotaInformation = 37,
	SystemLookasideInformation = 45,
	SystemCodeIntegrityInformation = 103,
	SystemPolicyInformation = 134,
} SYSTEM_INFORMATION_CLASS;

typedef struct _SYSTEM_PROCESS_INFORMATION {
	ULONG NextEntryOffset;
	ULONG NumberOfThreads;
	LARGE_INTEGER Reserved[3];
	LARGE_INTEGER CreateTime;
	LARGE_INTEGER UserTime;
	LARGE_INTEGER KernelTime;
	UNICODE_STRING ImageName;
	ULONG BasePriority;
	HANDLE ProcessId;
	HANDLE InheritedFromProcessId;
} SYSTEM_PROCESS_INFORMATION, * PSYSTEM_PROCESS_INFORMATION;

NTSYSAPI NTSTATUS NTAPI ZwQuerySystemInformation(
	_In_ SYSTEM_INFORMATION_CLASS SystemInformationClass,
	_Out_writes_bytes_opt_(SystemInformationLength) PVOID SystemInformation,
	_In_ ULONG SystemInformationLength,
	_Out_opt_ PULONG ReturnLength
);

HANDLE Get_pid_from_name() {

	NTSTATUS status = STATUS_SUCCESS;
	ULONG bufferSize = 0;
	PVOID buffer = NULL;

	PSYSTEM_PROCESS_INFORMATION pCurrent = NULL;

	UNICODE_STRING processName;
	RtlInitUnicodeString(&processName, L"Palworld.exe");


	status = ZwQuerySystemInformation(SystemProcessInformation, buffer, bufferSize, &bufferSize);  // 여기서 일부로 버퍼 크기를 틀리면 bufferSize 에 필요한 크기가 담겨서 온다.
	if (status == STATUS_INFO_LENGTH_MISMATCH) {
		buffer = ExAllocatePool2(POOL_FLAG_NON_PAGED, bufferSize, 'MDMP');   // 해당 bufferSize 만큼 할당
		if (buffer == NULL) {
			DbgPrintEx(DPFLTR_IHVDRIVER_ID, DPFLTR_ERROR_LEVEL, "메모리 할당 실패\n");
			return pCurrent;
		}
		else {
			status = ZwQuerySystemInformation(SystemProcessInformation, buffer, bufferSize, &bufferSize);   // 진짜 가져오기
			if (!NT_SUCCESS(status)) {
				DbgPrintEx(DPFLTR_IHVDRIVER_ID, DPFLTR_ERROR_LEVEL, "프로세스 정보 못가져옴 %p\n", status);
				ExFreePoolWithTag(buffer, 'MDMP');
				return pCurrent;
			}
		}
	}
	else {
		
	}

	DbgPrintEx(DPFLTR_IHVDRIVER_ID, DPFLTR_ERROR_LEVEL, "프로세스 정보 가져옴\n");


	pCurrent = (PSYSTEM_PROCESS_INFORMATION)buffer;
	while (pCurrent) {
		if (pCurrent->ImageName.Buffer != NULL) {
			if (RtlCompareUnicodeString(&(pCurrent->ImageName), &processName, TRUE) == 0) {
				DbgPrintEx(DPFLTR_IHVDRIVER_ID, DPFLTR_ERROR_LEVEL, "타겟  PID : %d\n", pCurrent->ProcessId);
				ExFreePoolWithTag(buffer, 'MDMP');
				return pCurrent->ProcessId;
			}
		}
		if (pCurrent->NextEntryOffset == 0) {
			pCurrent = NULL;
		}
		else {
			pCurrent = (PSYSTEM_PROCESS_INFORMATION)(((PUCHAR)pCurrent) + pCurrent->NextEntryOffset);
		}
	}



	return pCurrent;
}


NTSTATUS SeLocateProcessImageName(
	PEPROCESS       Process,
	PUNICODE_STRING* pImageFileName
);

OB_PREOP_CALLBACK_STATUS PreOperationCallback(PVOID RegistrationContext, POB_PRE_OPERATION_INFORMATION OperationInformation) {

	//DbgPrint("Handle callback function invoke.");

	UNREFERENCED_PARAMETER(RegistrationContext);
	// 접근하려는 대상이 프로세스인지 확인
	if (OperationInformation->ObjectType == *PsProcessType) {
		PEPROCESS targetProcess = (PEPROCESS)OperationInformation->Object;

		// 특정 프로세스에 대한 핸들 접근을 차단 -> FindProcessByName 함수로 가져온 pid 로
		if (PsGetProcessId(targetProcess) == pid) {

			PEPROCESS currentProcess = PsGetCurrentProcess();
			PUNICODE_STRING currentProcessName = NULL;
				
			SeLocateProcessImageName(currentProcess, &currentProcessName);
			DbgPrint("handle 접근: %wZ\n", currentProcessName); // 프로세스 이름 출력
			
			if (OperationInformation->Operation == OB_OPERATION_HANDLE_CREATE) {
				OperationInformation->Parameters->CreateHandleInformation.DesiredAccess = 0;  // 접근 차단
				DbgPrint("Blocking handle access BY ExternalAnticheat\n");
			}
		}
	}
	return OB_PREOP_SUCCESS;
}



VOID RegisterCallbacks() {
	OB_CALLBACK_REGISTRATION callbackRegistration;
	OB_OPERATION_REGISTRATION operationRegistration;

	// 콜백 구조체 초기화
	RtlZeroMemory(&callbackRegistration, sizeof(OB_CALLBACK_REGISTRATION));
	RtlZeroMemory(&operationRegistration, sizeof(OB_OPERATION_REGISTRATION));

	UNICODE_STRING altitude;
	RtlInitUnicodeString(&altitude, L"370000"); // Altitude 값을 더 높게 설정


	// 콜백 등록에 필요한 구조체 세팅
	callbackRegistration.Version = OB_FLT_REGISTRATION_VERSION;
	callbackRegistration.OperationRegistrationCount = 1;
	callbackRegistration.Altitude = altitude;
	callbackRegistration.RegistrationContext = NULL;

	operationRegistration.ObjectType = PsProcessType; // 프로세스 타입을 대상으로 설정
	operationRegistration.Operations = OB_OPERATION_HANDLE_CREATE | OB_OPERATION_HANDLE_DUPLICATE;
	operationRegistration.PreOperation = PreOperationCallback; // 사전 콜백 함수 등록
	operationRegistration.PostOperation = NULL; // 사후 콜백은 필요 없음

	callbackRegistration.OperationRegistration = &operationRegistration;

	// 콜백 등록
	NTSTATUS status = ObRegisterCallbacks(&callbackRegistration, &g_CallbackHandle);
	if (!NT_SUCCESS(status)) {
		DbgPrint("Failed to register callbacks. Status: %08x\n", status);
	}
}

VOID UnregisterCallbacks(PDRIVER_OBJECT DriverObject) {
	UNREFERENCED_PARAMETER(DriverObject);
	ObUnRegisterCallbacks(g_CallbackHandle);
}

NTSTATUS CheckAndAcquirePrivilege() {
	
	BOOLEAN hasPrivilege;

	// SeLoadDriverPrivilege: 드라이버를 로드할 때 필요한 권한
	LUID luid = RtlConvertUlongToLuid(SE_LOAD_DRIVER_PRIVILEGE);  // LUID는 각 권한에 고유한 식별자

	// 권한을 확인합니다.
	hasPrivilege = SeSinglePrivilegeCheck(luid, UserMode);

	if (!hasPrivilege) {
		DbgPrint("SeLoadDriverPrivilege 권한이 없습니다.");
		return STATUS_ACCESS_DENIED;
	}

	DbgPrint("SeLoadDriverPrivilege 권한을 확인했습니다.");

	// 권한을 성공적으로 확인하면 STATUS_SUCCESS 반환
	return STATUS_SUCCESS;
}

// 권한을 요청하는 부분
NTSTATUS AcquireDriverPrivilege() {
	//BOOLEAN wasEnabled;
	NTSTATUS status;

	// SeLoadDriverPrivilege 획득을 요청
	status = SeSinglePrivilegeCheck(RtlConvertUlongToLuid(SE_LOAD_DRIVER_PRIVILEGE), UserMode);

	if (!NT_SUCCESS(status)) {
		DbgPrint("권한을 획득하지 못했습니다: 0x%x\n", status);
		return status;
	}

	DbgPrint("권한을 성공적으로 획득했습니다.\n");
	return STATUS_SUCCESS;
}




NTSTATUS DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegistryPath) {
	UNREFERENCED_PARAMETER(RegistryPath);

	NTSTATUS Authstate = CheckAndAcquirePrivilege();   // 권한을 가지고 있는지

	if (Authstate == STATUS_ACCESS_DENIED) {		   // 권한이 없다면 가져옴
		AcquireDriverPrivilege();
	}


	pid = Get_pid_from_name("Palworld.exe", &pid);

	if (pid != NULL ) {
		DbgPrint("Palworld PID: %d\n", pid);
		RegisterCallbacks();
		DriverObject->DriverUnload = UnregisterCallbacks;
	}
	else {
		DbgPrint("Palworld process not found // ERROR \n");

	}

	

	DbgPrint("Driver Loaded\n");

	return STATUS_SUCCESS;
}

핵심부분

문제 발생 및 문제 해결

OB_PREOP_CALLBACK_STATUS PreOperationCallback(PVOID RegistrationContext, POB_PRE_OPERATION_INFORMATION OperationInformation) {

	//DbgPrint("Handle callback function invoke.");

	UNREFERENCED_PARAMETER(RegistrationContext);
	// 접근하려는 대상이 프로세스인지 확인
	if (OperationInformation->ObjectType == *PsProcessType) {
		PEPROCESS targetProcess = (PEPROCESS)OperationInformation->Object;

		// 특정 프로세스에 대한 핸들 접근을 차단 -> FindProcessByName 함수로 가져온 pid 로
		if (PsGetProcessId(targetProcess) == pid) {

			PEPROCESS currentProcess = PsGetCurrentProcess();
			PUNICODE_STRING currentProcessName = NULL;
				
			SeLocateProcessImageName(currentProcess, &currentProcessName);
			DbgPrint("handle 접근: %wZ\n", currentProcessName); // 프로세스 이름 출력
			
			if (OperationInformation->Operation == OB_OPERATION_HANDLE_CREATE) {
				OperationInformation->Parameters->CreateHandleInformation.DesiredAccess = 0;  // 접근 차단
				DbgPrint("Blocking handle access BY ExternalAnticheat\n");
			}
		}
	}
	return OB_PREOP_SUCCESS;

UNICODE_STRING SYSTEM32_PATH;

void InitSystem32Path() {
	RtlInitUnicodeString(&SYSTEM32_PATH, L"\\Device\\HarddiskVolume3\\Windows\\System32\\");
}

BOOLEAN IsInSystem32Directory(PUNICODE_STRING processName) {
	// 시스템 경로 동적 설정
	//if (system32Path.Buffer == NULL) {
	//	GetSystem32Directory(&system32Path);
	//}

	InitSystem32Path();
	if (RtlPrefixUnicodeString(&SYSTEM32_PATH, processName, TRUE)) {
		return TRUE;
	}
	return FALSE;
}

#define WHITELIST_SIZE 6 // 화이트리스트 크기 정의
UNICODE_STRING whiteListE[WHITELIST_SIZE];

void InitializeWhiteListExternal() {
	RtlInitUnicodeString(&whiteListE[0], L"steamservice.exe");
	RtlInitUnicodeString(&whiteListE[1], L"GameOverlayUI.exe");
	RtlInitUnicodeString(&whiteListE[2], L"steam.exe");
	RtlInitUnicodeString(&whiteListE[3], L"Palworld-Win64-Shipping.exe");
	RtlInitUnicodeString(&whiteListE[4], L"Palworld.exe");
	RtlInitUnicodeString(&whiteListE[5], L"MsMpEng.exe");
	//RtlInitUnicodeString(&whiteListE[6], L"GameBarFTServer.exe");
	//RtlInitUnicodeString(&whiteListE[8], L"Discord.exe");

}

BOOLEAN IsInWhiteList(PUNICODE_STRING processName) {
	//DbgPrint(" >>> %wZ\n", processName);

	// 전체 경로에서 마지막 '\' 이후의 파일 이름을 찾음
	USHORT i;
	for (i = processName->Length / sizeof(WCHAR); i > 0; i--) {
		if (processName->Buffer[i - 1] == L'\\') {
			break;
		}
	}

	// 파일 이름 부분의 시작 주소를 구함
	PWCHAR fileNameStart = &processName->Buffer[i];

	// 파일 이름을 UNICODE_STRING으로 만듦
	UNICODE_STRING fileName;
	RtlInitUnicodeString(&fileName, fileNameStart);

	// 추출된 파일 이름 출력
	DbgPrint("추출된 파일 이름: %wZ\n", &fileName);

	// 화이트리스트와 비교
	for (int t = 0; t < WHITELIST_SIZE; t++) {
		if (RtlEqualUnicodeString(&whiteListE[t], &fileName, TRUE)) {
			return TRUE; // 화이트리스트에 있는 경우
		}
	}

	return FALSE; // 화이트리스트에 없는 경우
}

추가적인 문제 발견 및 피드백

void InitSystem32Path() {
	RtlInitUnicodeString(&SYSTEM32_PATH, L"\\Device\\HarddiskVolume3\\Windows\\System32\\");
}

최종결과물

#include <ntddk.h>
//#include <WinNT.h>

#define PROCESS_VM_WRITE 0x0020
#define PROCESS_VM_OPERATION 0x0008

PVOID g_CallbackHandle = NULL;

HANDLE processId = NULL; HANDLE pid;

HANDLE internalPid = NULL;

char MODE_NUM = 0;
// MODE_NUM 0  normal mode
// MODE_NUM 1  focus mode

typedef enum _SYSTEM_INFORMATION_CLASS {
	SystemBasicInformation = 0,
	SystemPerformanceInformation = 2,
	SystemTimeOfDayInformation = 3,
	SystemProcessInformation = 5,
	SystemProcessorPerformanceInformation = 8,
	SystemInterruptInformation = 23,
	SystemExceptionInformation = 33,
	SystemRegistryQuotaInformation = 37,
	SystemLookasideInformation = 45,
	SystemCodeIntegrityInformation = 103,
	SystemPolicyInformation = 134,
} SYSTEM_INFORMATION_CLASS;

typedef struct _SYSTEM_PROCESS_INFORMATION {
	ULONG NextEntryOffset;
	ULONG NumberOfThreads;
	LARGE_INTEGER Reserved[3];
	LARGE_INTEGER CreateTime;
	LARGE_INTEGER UserTime;
	LARGE_INTEGER KernelTime;
	UNICODE_STRING ImageName;
	ULONG BasePriority;
	HANDLE ProcessId;
	HANDLE InheritedFromProcessId;
} SYSTEM_PROCESS_INFORMATION, * PSYSTEM_PROCESS_INFORMATION;

NTSYSAPI NTSTATUS NTAPI ZwQuerySystemInformation(
	_In_ SYSTEM_INFORMATION_CLASS SystemInformationClass,
	_Out_writes_bytes_opt_(SystemInformationLength) PVOID SystemInformation,
	_In_ ULONG SystemInformationLength,
	_Out_opt_ PULONG ReturnLength
);

HANDLE Get_pid_from_name() {

	NTSTATUS status = STATUS_SUCCESS;
	ULONG bufferSize = 0;
	PVOID buffer = NULL;

	PSYSTEM_PROCESS_INFORMATION pCurrent = NULL;

	UNICODE_STRING processName;
	RtlInitUnicodeString(&processName, L"Palworld.exe");


	status = ZwQuerySystemInformation(SystemProcessInformation, buffer, bufferSize, &bufferSize);  // 여기서 일부로 버퍼 크기를 틀리면 bufferSize 에 필요한 크기가 담겨서 온다.
	if (status == STATUS_INFO_LENGTH_MISMATCH) {
		buffer = ExAllocatePool2(POOL_FLAG_NON_PAGED, bufferSize, 'MDMP');   // 해당 bufferSize 만큼 할당
		if (buffer == NULL) {
			DbgPrintEx(DPFLTR_IHVDRIVER_ID, DPFLTR_ERROR_LEVEL, "메모리 할당 실패\n");
			return pCurrent;
		}
		else {
			status = ZwQuerySystemInformation(SystemProcessInformation, buffer, bufferSize, &bufferSize);   // 진짜 가져오기
			if (!NT_SUCCESS(status)) {
				DbgPrintEx(DPFLTR_IHVDRIVER_ID, DPFLTR_ERROR_LEVEL, "프로세스 정보 못가져옴 %p\n", status);
				ExFreePoolWithTag(buffer, 'MDMP');
				return pCurrent;
			}
		}
	}
	else {
		
	}

	DbgPrintEx(DPFLTR_IHVDRIVER_ID, DPFLTR_ERROR_LEVEL, "프로세스 정보 가져옴\n");


	pCurrent = (PSYSTEM_PROCESS_INFORMATION)buffer;
	while (pCurrent) {
		if (pCurrent->ImageName.Buffer != NULL) {
			if (RtlCompareUnicodeString(&(pCurrent->ImageName), &processName, TRUE) == 0) {
				DbgPrintEx(DPFLTR_IHVDRIVER_ID, DPFLTR_ERROR_LEVEL, "타겟  PID : %d\n", pCurrent->ProcessId);
				ExFreePoolWithTag(buffer, 'MDMP');
				return pCurrent->ProcessId;
			}
		}
		if (pCurrent->NextEntryOffset == 0) {
			pCurrent = NULL;
		}
		else {
			pCurrent = (PSYSTEM_PROCESS_INFORMATION)(((PUCHAR)pCurrent) + pCurrent->NextEntryOffset);
		}
	}



	return pCurrent;
}


NTSTATUS SeLocateProcessImageName(
	PEPROCESS       Process,
	PUNICODE_STRING* pImageFileName
);

UNICODE_STRING SYSTEM32_PATH;

void InitSystem32Path() {
	RtlInitUnicodeString(&SYSTEM32_PATH, L"\\Device\\HarddiskVolume3\\Windows\\System32\\");

}


//UNICODE_STRING system32Path = NULL;
//
//// 시스템 디렉터리 경로 가져오기 
//NTSTATUS GetSystem32Directory(PUNICODE_STRING system32Path) {
//	UNICODE_STRING windowsDirectory;
//	RtlInitUnicodeString(&windowsDirectory, L"\\SystemRoot\\System32");
//
//	return RtlDosPathNameToNtPathName_U(windowsDirectory.Buffer, system32Path, NULL, NULL);
//}

BOOLEAN IsInSystem32Directory(PUNICODE_STRING processName) {
	// 시스템 경로 동적 설정
	//if (system32Path.Buffer == NULL) {
	//	GetSystem32Directory(&system32Path);
	//}

	InitSystem32Path();
	if (RtlPrefixUnicodeString(&SYSTEM32_PATH, processName, TRUE)) {
		return TRUE;
	}
	return FALSE;
}

#define WHITELIST_SIZE 6 // 화이트리스트 크기 정의
UNICODE_STRING whiteListE[WHITELIST_SIZE];

void InitializeWhiteListExternal() {
	RtlInitUnicodeString(&whiteListE[0], L"steamservice.exe");
	RtlInitUnicodeString(&whiteListE[1], L"GameOverlayUI.exe");
	RtlInitUnicodeString(&whiteListE[2], L"steam.exe");
	RtlInitUnicodeString(&whiteListE[3], L"Palworld-Win64-Shipping.exe");
	RtlInitUnicodeString(&whiteListE[4], L"Palworld.exe");
	RtlInitUnicodeString(&whiteListE[5], L"MsMpEng.exe");
	//RtlInitUnicodeString(&whiteListE[6], L"GameBarFTServer.exe");
	//RtlInitUnicodeString(&whiteListE[8], L"Discord.exe");

}

//PUNICODE_STRING ExtractFileNameFromPath(PUNICODE_STRING fullPath) {
//	USHORT i;
//	for (i = fullPath->Length / sizeof(WCHAR); i > 0; i--) {
//		DbgPrint(" >>> %d\n", i);
//		if (fullPath->Buffer[i - 1] == L'\\') {
//			break;
//		}
//	}
//
//	return (PUNICODE_STRING)&fullPath->Buffer[i];
//}

//BOOLEAN IsInWhiteList(PUNICODE_STRING processName) {
//	DbgPrint(" >>> %wZ\n", processName);
//	//PUNICODE_STRING fileName = ExtractFileNameFromPath(processName);
//	//UNICODE_STRING fileNameUnicodeString;
//	//RtlInitUnicodeString(&fileNameUnicodeString, fileName);
//	//DbgPrint(" >>> %wZ\n", fileNameUnicodeString);
//	for (int i = 0; i < WHITELIST_SIZE; i++) {
//		if (IsSubstring(&whiteListE[i], processName, TRUE)) {
//			return TRUE; // 화이트리스트에 있는 경우
//		}
//	}
//	return FALSE; // 화이트리스트에 없는 경우
//}

BOOLEAN IsInWhiteList(PUNICODE_STRING processName) {
	//DbgPrint(" >>> %wZ\n", processName);

	// 전체 경로에서 마지막 '\' 이후의 파일 이름을 찾음
	USHORT i;
	for (i = processName->Length / sizeof(WCHAR); i > 0; i--) {
		if (processName->Buffer[i - 1] == L'\\') {
			break;
		}
	}

	// 파일 이름 부분의 시작 주소를 구함
	PWCHAR fileNameStart = &processName->Buffer[i];

	// 파일 이름을 UNICODE_STRING으로 만듦
	UNICODE_STRING fileName;
	RtlInitUnicodeString(&fileName, fileNameStart);

	// 추출된 파일 이름 출력
	DbgPrint("추출된 파일 이름: %wZ\n", &fileName);

	// 화이트리스트와 비교
	for (int t = 0; t < WHITELIST_SIZE; t++) {
		if (RtlEqualUnicodeString(&whiteListE[t], &fileName, TRUE)) {
			return TRUE; // 화이트리스트에 있는 경우
		}
	}

	return FALSE; // 화이트리스트에 없는 경우
}




OB_PREOP_CALLBACK_STATUS PreOperationCallback(PVOID RegistrationContext, POB_PRE_OPERATION_INFORMATION OperationInformation) {

	//DbgPrint("Handle callback function invoke.");

	UNREFERENCED_PARAMETER(RegistrationContext);
	// 접근하려는 대상이 프로세스인지 확인
	if (OperationInformation->ObjectType == *PsProcessType) {
		PEPROCESS targetProcess = (PEPROCESS)OperationInformation->Object;

		// 특정 프로세스에 대한 핸들 접근을 차단 -> FindProcessByName 함수로 가져온 pid 로
		if (PsGetProcessId(targetProcess) == pid) {

			PEPROCESS currentProcess = PsGetCurrentProcess();
			PUNICODE_STRING currentProcessName = NULL;
				
			SeLocateProcessImageName(currentProcess, &currentProcessName);
			

		
			if (OperationInformation->Operation == OB_OPERATION_HANDLE_CREATE) {

				DbgPrint("handle 생성 및 접근 ->  %wZ\n", currentProcessName); // 프로세스 이름 출력
				if (PsGetCurrentProcess() == targetProcess || IsInWhiteList(currentProcessName)) {
					DbgPrint("신뢰성있는 사용자 프로세스 -> handle 접근허용\n");
					// 여기에 화이트리스트 구현해도 될듯
				}
				else if (!IsInSystem32Directory(currentProcessName) ){

					ULONG desiredAccess = OperationInformation->Parameters->CreateHandleInformation.DesiredAccess;
					DbgPrint("요청한 권한 : 0x%X\n", desiredAccess);
					if ((desiredAccess & PROCESS_VM_WRITE) ||
						(desiredAccess & PROCESS_VM_OPERATION) ||
						(desiredAccess & PROCESS_DUP_HANDLE)) {

						
						

						// 쓰기 권한 접근 차단
						OperationInformation->Parameters->CreateHandleInformation.DesiredAccess = 0;  // 접근 차단
						DbgPrint("Blocking handle access BY ExternalAnticheat  -> handle 접근거부 \n");
					}
					else {
						DbgPrint(" 위험하지 않은 사용자 애플리케이션 -> handle 접근허용\n");
					}

				
					


					
				}
				else {
					DbgPrint("시스템 프로세스 -> handle 접근허용\n"); 
				}

		
			}
		}
	}
	return OB_PREOP_SUCCESS;
}



VOID RegisterCallbacks() {
	OB_CALLBACK_REGISTRATION callbackRegistration;
	OB_OPERATION_REGISTRATION operationRegistration;

	// 콜백 구조체 초기화
	RtlZeroMemory(&callbackRegistration, sizeof(OB_CALLBACK_REGISTRATION));
	RtlZeroMemory(&operationRegistration, sizeof(OB_OPERATION_REGISTRATION));

	UNICODE_STRING altitude;
	RtlInitUnicodeString(&altitude, L"370000"); // Altitude 값을 더 높게 설정


	// 콜백 등록에 필요한 구조체 세팅
	callbackRegistration.Version = OB_FLT_REGISTRATION_VERSION;
	callbackRegistration.OperationRegistrationCount = 1;
	callbackRegistration.Altitude = altitude;
	callbackRegistration.RegistrationContext = NULL;

	operationRegistration.ObjectType = PsProcessType; // 프로세스 타입을 대상으로 설정
	operationRegistration.Operations = OB_OPERATION_HANDLE_CREATE | OB_OPERATION_HANDLE_DUPLICATE;
	operationRegistration.PreOperation = PreOperationCallback; // 사전 콜백 함수 등록
	operationRegistration.PostOperation = NULL; // 사후 콜백은 필요 없음

	callbackRegistration.OperationRegistration = &operationRegistration;

	// 콜백 등록
	NTSTATUS status = ObRegisterCallbacks(&callbackRegistration, &g_CallbackHandle);
	if (!NT_SUCCESS(status)) {
		DbgPrint("Failed to register callbacks. Status: %08x\n", status);
	}
}

VOID UnregisterCallbacks(PDRIVER_OBJECT DriverObject) {
	UNREFERENCED_PARAMETER(DriverObject);
	ObUnRegisterCallbacks(g_CallbackHandle);
}

NTSTATUS CheckAndAcquirePrivilege() {
	
	BOOLEAN hasPrivilege;

	// SeLoadDriverPrivilege: 드라이버를 로드할 때 필요한 권한
	LUID luid = RtlConvertUlongToLuid(SE_LOAD_DRIVER_PRIVILEGE);  // LUID는 각 권한에 고유한 식별자

	// 권한을 확인합니다.
	hasPrivilege = SeSinglePrivilegeCheck(luid, UserMode);

	if (!hasPrivilege) {
		DbgPrint("SeLoadDriverPrivilege 권한이 없습니다.");
		return STATUS_ACCESS_DENIED;
	}

	DbgPrint("SeLoadDriverPrivilege 권한을 확인했습니다.");

	// 권한을 성공적으로 확인하면 STATUS_SUCCESS 반환
	return STATUS_SUCCESS;
}

// 권한을 요청하는 부분
NTSTATUS AcquireDriverPrivilege() {
	//BOOLEAN wasEnabled;
	NTSTATUS status;

	// SeLoadDriverPrivilege 획득을 요청
	status = SeSinglePrivilegeCheck(RtlConvertUlongToLuid(SE_LOAD_DRIVER_PRIVILEGE), UserMode);

	if (!NT_SUCCESS(status)) {
		DbgPrint("권한을 획득하지 못했습니다: 0x%x\n", status);
		return status;
	}

	DbgPrint("권한을 성공적으로 획득했습니다.\n");
	return STATUS_SUCCESS;
}




NTSTATUS DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegistryPath) {
	UNREFERENCED_PARAMETER(RegistryPath);

	NTSTATUS Authstate = CheckAndAcquirePrivilege();   // 권한을 가지고 있는지

	if (Authstate == STATUS_ACCESS_DENIED) {		   // 권한이 없다면 가져옴
		AcquireDriverPrivilege();
	}


	pid = Get_pid_from_name("Palworld.exe", &pid);

	if (pid != NULL ) {
		DbgPrint("Palworld PID: %d\n", pid);
		RegisterCallbacks();
		DriverObject->DriverUnload = UnregisterCallbacks;
	}
	else {
		DbgPrint("Palworld process not found // ERROR \n");

	}

	

	DbgPrint("Driver Loaded\n");

	return STATUS_SUCCESS;
}

#include <ntddk.h>
//#include <WinNT.h>

#define PROCESS_VM_WRITE 0x0020
#define PROCESS_VM_OPERATION 0x0008

PVOID g_CallbackHandle = NULL;

HANDLE processId = NULL; HANDLE pid;

HANDLE internalPid = NULL;

char MODE_NUM = 0;
// MODE_NUM 0  normal mode
// MODE_NUM 1  focus mode

typedef enum _SYSTEM_INFORMATION_CLASS {
	SystemBasicInformation = 0,
	SystemPerformanceInformation = 2,
	SystemTimeOfDayInformation = 3,
	SystemProcessInformation = 5,
	SystemProcessorPerformanceInformation = 8,
	SystemInterruptInformation = 23,
	SystemExceptionInformation = 33,
	SystemRegistryQuotaInformation = 37,
	SystemLookasideInformation = 45,
	SystemCodeIntegrityInformation = 103,
	SystemPolicyInformation = 134,
} SYSTEM_INFORMATION_CLASS;

typedef struct _SYSTEM_PROCESS_INFORMATION {
	ULONG NextEntryOffset;
	ULONG NumberOfThreads;
	LARGE_INTEGER Reserved[3];
	LARGE_INTEGER CreateTime;
	LARGE_INTEGER UserTime;
	LARGE_INTEGER KernelTime;
	UNICODE_STRING ImageName;
	ULONG BasePriority;
	HANDLE ProcessId;
	HANDLE InheritedFromProcessId;
} SYSTEM_PROCESS_INFORMATION, * PSYSTEM_PROCESS_INFORMATION;

NTSYSAPI NTSTATUS NTAPI ZwQuerySystemInformation(
	_In_ SYSTEM_INFORMATION_CLASS SystemInformationClass,
	_Out_writes_bytes_opt_(SystemInformationLength) PVOID SystemInformation,
	_In_ ULONG SystemInformationLength,
	_Out_opt_ PULONG ReturnLength
);

HANDLE Get_pid_from_name() {

	NTSTATUS status = STATUS_SUCCESS;
	ULONG bufferSize = 0;
	PVOID buffer = NULL;

	PSYSTEM_PROCESS_INFORMATION pCurrent = NULL;

	UNICODE_STRING processName;
	RtlInitUnicodeString(&processName, L"Palworld.exe");


	status = ZwQuerySystemInformation(SystemProcessInformation, buffer, bufferSize, &bufferSize);  // 여기서 일부로 버퍼 크기를 틀리면 bufferSize 에 필요한 크기가 담겨서 온다.
	if (status == STATUS_INFO_LENGTH_MISMATCH) {
		buffer = ExAllocatePool2(POOL_FLAG_NON_PAGED, bufferSize, 'MDMP');   // 해당 bufferSize 만큼 할당
		if (buffer == NULL) {
			DbgPrintEx(DPFLTR_IHVDRIVER_ID, DPFLTR_ERROR_LEVEL, "메모리 할당 실패\n");
			return pCurrent;
		}
		else {
			status = ZwQuerySystemInformation(SystemProcessInformation, buffer, bufferSize, &bufferSize);   // 진짜 가져오기
			if (!NT_SUCCESS(status)) {
				DbgPrintEx(DPFLTR_IHVDRIVER_ID, DPFLTR_ERROR_LEVEL, "프로세스 정보 못가져옴 %p\n", status);
				ExFreePoolWithTag(buffer, 'MDMP');
				return pCurrent;
			}
		}
	}
	else {
		
	}

	DbgPrintEx(DPFLTR_IHVDRIVER_ID, DPFLTR_ERROR_LEVEL, "프로세스 정보 가져옴\n");


	pCurrent = (PSYSTEM_PROCESS_INFORMATION)buffer;
	while (pCurrent) {
		if (pCurrent->ImageName.Buffer != NULL) {
			if (RtlCompareUnicodeString(&(pCurrent->ImageName), &processName, TRUE) == 0) {
				DbgPrintEx(DPFLTR_IHVDRIVER_ID, DPFLTR_ERROR_LEVEL, "타겟  PID : %d\n", pCurrent->ProcessId);
				ExFreePoolWithTag(buffer, 'MDMP');
				return pCurrent->ProcessId;
			}
		}
		if (pCurrent->NextEntryOffset == 0) {
			pCurrent = NULL;
		}
		else {
			pCurrent = (PSYSTEM_PROCESS_INFORMATION)(((PUCHAR)pCurrent) + pCurrent->NextEntryOffset);
		}
	}



	return pCurrent;
}


NTSTATUS SeLocateProcessImageName(
	PEPROCESS       Process,
	PUNICODE_STRING* pImageFileName
);

UNICODE_STRING SYSTEM32_PATH;

void InitSystem32Path() {
	RtlInitUnicodeString(&SYSTEM32_PATH, L"\\Device\\HarddiskVolume3\\Windows\\System32\\");

}


//UNICODE_STRING system32Path = NULL;
//
//// 시스템 디렉터리 경로 가져오기 
//NTSTATUS GetSystem32Directory(PUNICODE_STRING system32Path) {
//	UNICODE_STRING windowsDirectory;
//	RtlInitUnicodeString(&windowsDirectory, L"\\SystemRoot\\System32");
//
//	return RtlDosPathNameToNtPathName_U(windowsDirectory.Buffer, system32Path, NULL, NULL);
//}

BOOLEAN IsInSystem32Directory(PUNICODE_STRING processName) {
	// 시스템 경로 동적 설정
	//if (system32Path.Buffer == NULL) {
	//	GetSystem32Directory(&system32Path);
	//}

	InitSystem32Path();
	if (RtlPrefixUnicodeString(&SYSTEM32_PATH, processName, TRUE)) {
		return TRUE;
	}
	return FALSE;
}

#define WHITELIST_SIZE 6 // 화이트리스트 크기 정의
UNICODE_STRING whiteListE[WHITELIST_SIZE];

void InitializeWhiteListExternal() {
	RtlInitUnicodeString(&whiteListE[0], L"steamservice.exe");
	RtlInitUnicodeString(&whiteListE[1], L"GameOverlayUI.exe");
	RtlInitUnicodeString(&whiteListE[2], L"steam.exe");
	RtlInitUnicodeString(&whiteListE[3], L"Palworld-Win64-Shipping.exe");
	RtlInitUnicodeString(&whiteListE[4], L"Palworld.exe");
	RtlInitUnicodeString(&whiteListE[5], L"MsMpEng.exe");
	//RtlInitUnicodeString(&whiteListE[6], L"GameBarFTServer.exe");
	//RtlInitUnicodeString(&whiteListE[8], L"Discord.exe");

}

//PUNICODE_STRING ExtractFileNameFromPath(PUNICODE_STRING fullPath) {
//	USHORT i;
//	for (i = fullPath->Length / sizeof(WCHAR); i > 0; i--) {
//		DbgPrint(" >>> %d\n", i);
//		if (fullPath->Buffer[i - 1] == L'\\') {
//			break;
//		}
//	}
//
//	return (PUNICODE_STRING)&fullPath->Buffer[i];
//}

//BOOLEAN IsInWhiteList(PUNICODE_STRING processName) {
//	DbgPrint(" >>> %wZ\n", processName);
//	//PUNICODE_STRING fileName = ExtractFileNameFromPath(processName);
//	//UNICODE_STRING fileNameUnicodeString;
//	//RtlInitUnicodeString(&fileNameUnicodeString, fileName);
//	//DbgPrint(" >>> %wZ\n", fileNameUnicodeString);
//	for (int i = 0; i < WHITELIST_SIZE; i++) {
//		if (IsSubstring(&whiteListE[i], processName, TRUE)) {
//			return TRUE; // 화이트리스트에 있는 경우
//		}
//	}
//	return FALSE; // 화이트리스트에 없는 경우
//}

BOOLEAN IsInWhiteList(PUNICODE_STRING processName) {
	//DbgPrint(" >>> %wZ\n", processName);

	// 전체 경로에서 마지막 '\' 이후의 파일 이름을 찾음
	USHORT i;
	for (i = processName->Length / sizeof(WCHAR); i > 0; i--) {
		if (processName->Buffer[i - 1] == L'\\') {
			break;
		}
	}

	// 파일 이름 부분의 시작 주소를 구함
	PWCHAR fileNameStart = &processName->Buffer[i];

	// 파일 이름을 UNICODE_STRING으로 만듦
	UNICODE_STRING fileName;
	RtlInitUnicodeString(&fileName, fileNameStart);

	// 추출된 파일 이름 출력
	DbgPrint("추출된 파일 이름: %wZ\n", &fileName);

	// 화이트리스트와 비교
	for (int t = 0; t < WHITELIST_SIZE; t++) {
		if (RtlEqualUnicodeString(&whiteListE[t], &fileName, TRUE)) {
			return TRUE; // 화이트리스트에 있는 경우
		}
	}

	return FALSE; // 화이트리스트에 없는 경우
}




OB_PREOP_CALLBACK_STATUS PreOperationCallback(PVOID RegistrationContext, POB_PRE_OPERATION_INFORMATION OperationInformation) {

	//DbgPrint("Handle callback function invoke.");

	UNREFERENCED_PARAMETER(RegistrationContext);
	// 접근하려는 대상이 프로세스인지 확인
	if (OperationInformation->ObjectType == *PsProcessType) {
		PEPROCESS targetProcess = (PEPROCESS)OperationInformation->Object;

		// 특정 프로세스에 대한 핸들 접근을 차단 -> FindProcessByName 함수로 가져온 pid 로
		if (PsGetProcessId(targetProcess) == pid) {

			PEPROCESS currentProcess = PsGetCurrentProcess();
			PUNICODE_STRING currentProcessName = NULL;
				
			SeLocateProcessImageName(currentProcess, &currentProcessName);
			

		
			if (OperationInformation->Operation == OB_OPERATION_HANDLE_CREATE) {

				DbgPrint("handle 생성 및 접근 ->  %wZ\n", currentProcessName); // 프로세스 이름 출력
				if (PsGetCurrentProcess() == targetProcess || IsInWhiteList(currentProcessName)) {
					DbgPrint("신뢰성있는 사용자 프로세스 -> handle 접근허용\n");
					// 여기에 화이트리스트 구현해도 될듯
				}
				else if (!IsInSystem32Directory(currentProcessName) ){

					ULONG desiredAccess = OperationInformation->Parameters->CreateHandleInformation.DesiredAccess;
					DbgPrint("요청한 권한 : 0x%X\n", desiredAccess);
					if ((desiredAccess & PROCESS_VM_WRITE) ||
						(desiredAccess & PROCESS_VM_OPERATION) ||
						(desiredAccess & PROCESS_DUP_HANDLE)) {

						
						

						// 쓰기 권한 접근 차단
						OperationInformation->Parameters->CreateHandleInformation.DesiredAccess = 0;  // 접근 차단
						DbgPrint("Blocking handle access BY ExternalAnticheat  -> handle 접근거부 \n");
					}
					else {
						DbgPrint(" 위험하지 않은 사용자 애플리케이션 -> handle 접근허용\n");
					}

				
					


					
				}
				else {
					DbgPrint("시스템 프로세스 -> handle 접근허용\n"); 
				}

		
			}
		}
	}
	return OB_PREOP_SUCCESS;
}



VOID RegisterCallbacks() {
	OB_CALLBACK_REGISTRATION callbackRegistration;
	OB_OPERATION_REGISTRATION operationRegistration;

	// 콜백 구조체 초기화
	RtlZeroMemory(&callbackRegistration, sizeof(OB_CALLBACK_REGISTRATION));
	RtlZeroMemory(&operationRegistration, sizeof(OB_OPERATION_REGISTRATION));

	UNICODE_STRING altitude;
	RtlInitUnicodeString(&altitude, L"370000"); // Altitude 값을 더 높게 설정


	// 콜백 등록에 필요한 구조체 세팅
	callbackRegistration.Version = OB_FLT_REGISTRATION_VERSION;
	callbackRegistration.OperationRegistrationCount = 1;
	callbackRegistration.Altitude = altitude;
	callbackRegistration.RegistrationContext = NULL;

	operationRegistration.ObjectType = PsProcessType; // 프로세스 타입을 대상으로 설정
	operationRegistration.Operations = OB_OPERATION_HANDLE_CREATE | OB_OPERATION_HANDLE_DUPLICATE;
	operationRegistration.PreOperation = PreOperationCallback; // 사전 콜백 함수 등록
	operationRegistration.PostOperation = NULL; // 사후 콜백은 필요 없음

	callbackRegistration.OperationRegistration = &operationRegistration;

	// 콜백 등록
	NTSTATUS status = ObRegisterCallbacks(&callbackRegistration, &g_CallbackHandle);
	if (!NT_SUCCESS(status)) {
		DbgPrint("Failed to register callbacks. Status: %08x\n", status);
	}
}

VOID UnregisterCallbacks(PDRIVER_OBJECT DriverObject) {
	UNREFERENCED_PARAMETER(DriverObject);
	ObUnRegisterCallbacks(g_CallbackHandle);
}

NTSTATUS CheckAndAcquirePrivilege() {
	
	BOOLEAN hasPrivilege;

	// SeLoadDriverPrivilege: 드라이버를 로드할 때 필요한 권한
	LUID luid = RtlConvertUlongToLuid(SE_LOAD_DRIVER_PRIVILEGE);  // LUID는 각 권한에 고유한 식별자

	// 권한을 확인합니다.
	hasPrivilege = SeSinglePrivilegeCheck(luid, UserMode);

	if (!hasPrivilege) {
		DbgPrint("SeLoadDriverPrivilege 권한이 없습니다.");
		return STATUS_ACCESS_DENIED;
	}

	DbgPrint("SeLoadDriverPrivilege 권한을 확인했습니다.");

	// 권한을 성공적으로 확인하면 STATUS_SUCCESS 반환
	return STATUS_SUCCESS;
}

// 권한을 요청하는 부분
NTSTATUS AcquireDriverPrivilege() {
	//BOOLEAN wasEnabled;
	NTSTATUS status;

	// SeLoadDriverPrivilege 획득을 요청
	status = SeSinglePrivilegeCheck(RtlConvertUlongToLuid(SE_LOAD_DRIVER_PRIVILEGE), UserMode);

	if (!NT_SUCCESS(status)) {
		DbgPrint("권한을 획득하지 못했습니다: 0x%x\n", status);
		return status;
	}

	DbgPrint("권한을 성공적으로 획득했습니다.\n");
	return STATUS_SUCCESS;
}




NTSTATUS DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegistryPath) {
	UNREFERENCED_PARAMETER(RegistryPath);

	NTSTATUS Authstate = CheckAndAcquirePrivilege();   // 권한을 가지고 있는지

	if (Authstate == STATUS_ACCESS_DENIED) {		   // 권한이 없다면 가져옴
		AcquireDriverPrivilege();
	}


	pid = Get_pid_from_name("Palworld.exe", &pid);

	if (pid != NULL ) {
		DbgPrint("Palworld PID: %d\n", pid);
		RegisterCallbacks();
		DriverObject->DriverUnload = UnregisterCallbacks;
	}
	else {
		DbgPrint("Palworld process not found // ERROR \n");

	}

	

	DbgPrint("Driver Loaded\n");

	return STATUS_SUCCESS;
}