Ta的论坛

抄了个非官方解释：
The genuine apphelp.dll file is a software component of Application Compatibility Client Library by Microsoft.The dynamic link library to support a helper function, this application runs with the Microsoft Application Compatibility Client. It assists Windows applications managed by the Application Compatibility Toolkit. The Application Compatibility Toolkit is a program that assists overall application management in Windows. Founded in 1975, Microsoft's flagship product is the Windows operating system, which is installed on over 90% of workstations worldwide.
d99K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2X3K9h3I4W2i4K6u0W2L8X3g2@1i4K6u0r3M7s2u0G2j5$3g2K6M7#2)9J5c8X3q4H3M7r3S2W2L8s2m8Q4x3X3g2V1L8r3I4Q4x3X3g2Z5N6r3#2D9

为什么会出现这种现象？

没有去分析windows对这个dll的加载的具体方式，我暂时也不造。。~望楼下补充

对了lz提一个事，高版本windows sdk中GetProcAddress被动了手脚，调用它来获取user32.dll中的某些导出函数时(e.g.MessageBoxA(W))有时会被redirect到apphelp.dll中的某个函数上，据说是为了保持进程API调用的稳定性，将原有的api调用先挂到apphelp中的某个更能处理错误的函数中进行处理后再传给user32中的原函数，这时候自己实现一个GetProcAddress才可以获取到原函数地址。

dfdK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2#2L8X3E0F1L8%4N6F1j5$3S2W2j5i4c8K6i4K6u0W2L8h3g2Q4x3V1k6X3L8%4u0#2L8g2)9J5c8X3y4Q4x3X3c8S2L8X3c8Q4x3X3c8U0i4K6u0V1i4K6u0r3x3e0x3I4x3U0t1%4i4K6u0V1k6$3g2@1M7s2u0G2j5$3q4V1k6s2u0W2M7%4y4Q4x3X3c8J5k6h3c8A6M7X3g2U0N6r3W2F1k6#2)9J5k6r3q4H3M7r3S2W2L8s2m8Q4x3X3c8V1L8r3I4Q4x3X3g2Z5N6r3#2D9

最后于 2018-3-30 11:51 被yypEx编辑，原因：

yypEx

雪币： 459

活跃值： (166)

能力值：

( LV9，RANK：165 )

在线值：

发帖

16

回帖

72

粉丝

2

关注

私信

yypEx 2018-3-1 19:17: 0

[注意]《0day安全软件漏洞分析技术》剩余库存发货中……
预订+1

yypEx

雪币： 459

活跃值： (166)

能力值：

( LV9，RANK：165 )

在线值：

发帖

16

回帖

72

粉丝

2

关注

私信

yypEx 2017-6-30 11:40: 0

[原创]Windows CrackMe（黑科技加强版）
感谢楼主分享牛逼CM

yypEx

雪币： 459

活跃值： (166)

能力值：

( LV9，RANK：165 )

在线值：

发帖

16

回帖

72

粉丝

2

关注

私信

yypEx 2017-6-30 11:35: 0

[原创]看雪ctf 2017 No.14
非常厉害!

yypEx

雪币： 459

活跃值： (166)

能力值：

( LV9，RANK：165 )

在线值：

发帖

16

回帖

72

粉丝

2

关注

私信

yypEx 2016-3-29 12:46: 0

[原创]吾爱破解2016安全挑战赛第一题CrackMe分析
活捉苏紫 + 顶楼主

yypEx

雪币： 459

活跃值： (166)

能力值：

( LV9，RANK：165 )

在线值：

发帖

16

回帖

72

粉丝

2

关注

私信

yypEx 2015-12-16 12:52: 0

[默哀]Aker一路走好
默哀，愿您一路走好

yypEx

雪币： 459

活跃值： (166)

能力值：

( LV9，RANK：165 )

在线值：

发帖

16

回帖

72

粉丝

2

关注

私信

yypEx 2015-9-6 17:51: 0

[原创+开源]VM高强度虚拟机保护完全开源,最后更新(2015-10-31)
真的很不容易啊，感谢楼主的无私奉献

yypEx

雪币： 459

活跃值： (166)

能力值：

( LV9，RANK：165 )

在线值：

发帖

16

回帖

72

粉丝

2

关注

私信

yypEx 2015-8-27 15:46: 0

[原创]纯手工秒杀VM虚拟机Handle之II(含最新VMP主程序)
Thanks

yypEx

雪币： 459

活跃值： (166)

能力值：

( LV9，RANK：165 )

在线值：

发帖

16

回帖

72

粉丝

2

关注

私信

yypEx 2015-8-26 23:14: 0

[原创]纯手工秒杀VM虚拟机Handle之II(含最新VMP主程序)
谢谢楼主分享了。

yypEx

雪币： 459

活跃值： (166)

能力值：

( LV9，RANK：165 )

在线值：

发帖

16

回帖

72

粉丝

2

关注

私信

yypEx 2015-8-24 22:13: 0

[已解决]如何在cmd中以explorer运行运行一个带参数的程序
Program Files 换成短路径格式
C:\PROGRA~1\COMSOL\COMSOL51\Multiphysics\bin\win64\comsolmphserver.exe -np 4

还有，楼主，不知道explorer支不支持给exe传参

yypEx

雪币： 459

活跃值： (166)

能力值：

( LV9，RANK：165 )

在线值：

发帖

16

回帖

72

粉丝

2

关注

私信

yypEx 2015-8-1 21:28: 0

[讨论]几乎每天会用的APP
用wp只能天天刷IT之家了
wp端的酷我音乐/cortana也有时用

yypEx

雪币： 459

活跃值： (166)

能力值：

( LV9，RANK：165 )

在线值：

发帖

16

回帖

72

粉丝

2

关注

私信

yypEx 2015-7-20 17:37: 0

[分享]再放个CrackMe给新手玩玩 (II)
恩恩，挺精炼

yypEx

雪币： 459

活跃值： (166)

能力值：

( LV9，RANK：165 )

在线值：

发帖

16

回帖

72

粉丝

2

关注

私信

yypEx 2015-7-20 17:07: 0

[分享]再放个CrackMe给新手玩玩 (II)
楼主，这个应该让Keygen的

004011D4      90            nop
004011D5      90            nop
004011D6      90            nop
004011D7      90            nop
004011D8      90            nop
004011D9      BE 09304000   mov     esi, 00403009                    ;  ASCII "iscc2015"
004011DE  |.  BF A8304000   mov     edi, 004030A8
004011E3  |.  A1 35304000   mov     eax, dword ptr [0x403035]
004011E8  |.  F3:A6         repe    cmps byte ptr es:[edi], byte ptr>
004011EA      90            nop
004011EB      90            nop
004011EC  |.  85C9          test    ecx, ecx
004011EE      90            nop
004011EF      90            nop

要Key一下才有意思啊

yypEx

雪币： 459

活跃值： (166)

能力值：

( LV9，RANK：165 )

在线值：

发帖

16

回帖

72

粉丝

2

关注

私信

yypEx 2015-7-7 12:24: 0

[求助]恢复一个软件的ssdt hook

yypEx 雪币： 459 活跃值： (166) 能力值： ( LV9，RANK：165 ) 在线值：发帖 16 回帖 72 粉丝 2 关注私信	yypEx 2019-8-15 10:36 0 [原创] Unicorn 在 Android 的应用 tql
yypEx 雪币： 459 活跃值： (166) 能力值： ( LV9，RANK：165 ) 在线值：发帖 16 回帖 72 粉丝 2 关注私信	yypEx 2018-3-30 11:45 0 关于apphelp.dll 这个apphelp.dll是做什么的：抄了个非官方解释： The genuine apphelp.dll file is a software component of Application Compatibility Client Library by Microsoft.The dynamic link library to support a helper function, this application runs with the Microsoft Application Compatibility Client. It assists Windows applications managed by the Application Compatibility Toolkit. The Application Compatibility Toolkit is a program that assists overall application management in Windows. Founded in 1975, Microsoft's flagship product is the Windows operating system, which is installed on over 90% of workstations worldwide. d99K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2X3K9h3I4W2i4K6u0W2L8X3g2@1i4K6u0r3M7s2u0G2j5$3g2K6M7#2)9J5c8X3q4H3M7r3S2W2L8s2m8Q4x3X3g2V1L8r3I4Q4x3X3g2Z5N6r3#2D9 为什么会出现这种现象？没有去分析windows对这个dll的加载的具体方式，我暂时也不造。。~望楼下补充对了lz提一个事，高版本windows sdk中GetProcAddress被动了手脚，调用它来获取user32.dll中的某些导出函数时(e.g.MessageBoxA(W))有时会被redirect到apphelp.dll中的某个函数上，据说是为了保持进程API调用的稳定性，将原有的api调用先挂到apphelp中的某个更能处理错误的函数中进行处理后再传给user32中的原函数，这时候自己实现一个GetProcAddress才可以获取到原函数地址。 dfdK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2#2L8X3E0F1L8%4N6F1j5$3S2W2j5i4c8K6i4K6u0W2L8h3g2Q4x3V1k6X3L8%4u0#2L8g2)9J5c8X3y4Q4x3X3c8S2L8X3c8Q4x3X3c8U0i4K6u0V1i4K6u0r3x3e0x3I4x3U0t1%4i4K6u0V1k6$3g2@1M7s2u0G2j5$3q4V1k6s2u0W2M7%4y4Q4x3X3c8J5k6h3c8A6M7X3g2U0N6r3W2F1k6#2)9J5k6r3q4H3M7r3S2W2L8s2m8Q4x3X3c8V1L8r3I4Q4x3X3g2Z5N6r3#2D9 最后于 2018-3-30 11:51 被yypEx编辑，原因：
yypEx 雪币： 459 活跃值： (166) 能力值： ( LV9，RANK：165 ) 在线值：发帖 16 回帖 72 粉丝 2 关注私信	yypEx 2018-3-1 19:17 0 [注意]《0day安全软件漏洞分析技术》剩余库存发货中…… 预订+1
yypEx 雪币： 459 活跃值： (166) 能力值： ( LV9，RANK：165 ) 在线值：发帖 16 回帖 72 粉丝 2 关注私信	yypEx 2017-6-30 11:40 0 [原创]Windows CrackMe（黑科技加强版）感谢楼主分享牛逼CM
yypEx 雪币： 459 活跃值： (166) 能力值： ( LV9，RANK：165 ) 在线值：发帖 16 回帖 72 粉丝 2 关注私信	yypEx 2017-6-30 11:35 0 [原创]看雪ctf 2017 No.14 非常厉害!
yypEx 雪币： 459 活跃值： (166) 能力值： ( LV9，RANK：165 ) 在线值：发帖 16 回帖 72 粉丝 2 关注私信	yypEx 2016-3-29 12:46 0 [原创]吾爱破解2016安全挑战赛第一题CrackMe分析活捉苏紫 + 顶楼主
yypEx 雪币： 459 活跃值： (166) 能力值： ( LV9，RANK：165 ) 在线值：发帖 16 回帖 72 粉丝 2 关注私信	yypEx 2015-12-16 12:52 0 [默哀]Aker一路走好默哀，愿您一路走好
yypEx 雪币： 459 活跃值： (166) 能力值： ( LV9，RANK：165 ) 在线值：发帖 16 回帖 72 粉丝 2 关注私信	yypEx 2015-9-6 17:51 0 [原创+开源]VM高强度虚拟机保护完全开源,最后更新(2015-10-31) 真的很不容易啊，感谢楼主的无私奉献
yypEx 雪币： 459 活跃值： (166) 能力值： ( LV9，RANK：165 ) 在线值：发帖 16 回帖 72 粉丝 2 关注私信	yypEx 2015-8-27 15:46 0 [原创]纯手工秒杀VM虚拟机Handle之II(含最新VMP主程序) Thanks
yypEx 雪币： 459 活跃值： (166) 能力值： ( LV9，RANK：165 ) 在线值：发帖 16 回帖 72 粉丝 2 关注私信	yypEx 2015-8-26 23:14 0 [原创]纯手工秒杀VM虚拟机Handle之II(含最新VMP主程序) 谢谢楼主分享了。
yypEx 雪币： 459 活跃值： (166) 能力值： ( LV9，RANK：165 ) 在线值：发帖 16 回帖 72 粉丝 2 关注私信	yypEx 2015-8-24 22:13 0 [已解决]如何在cmd中以explorer运行运行一个带参数的程序 Program Files 换成短路径格式 C:\PROGRA~1\COMSOL\COMSOL51\Multiphysics\bin\win64\comsolmphserver.exe -np 4 还有，楼主，不知道explorer支不支持给exe传参
yypEx 雪币： 459 活跃值： (166) 能力值： ( LV9，RANK：165 ) 在线值：发帖 16 回帖 72 粉丝 2 关注私信	yypEx 2015-8-1 21:28 0 [讨论]几乎每天会用的APP 用wp只能天天刷IT之家了 wp端的酷我音乐/cortana也有时用
yypEx 雪币： 459 活跃值： (166) 能力值： ( LV9，RANK：165 ) 在线值：发帖 16 回帖 72 粉丝 2 关注私信	yypEx 2015-7-20 17:37 0 [分享]再放个CrackMe给新手玩玩 (II) 恩恩，挺精炼
yypEx 雪币： 459 活跃值： (166) 能力值： ( LV9，RANK：165 ) 在线值：发帖 16 回帖 72 粉丝 2 关注私信	yypEx 2015-7-20 17:07 0 [分享]再放个CrackMe给新手玩玩 (II) 楼主，这个应该让Keygen的 004011D4 90 nop 004011D5 90 nop 004011D6 90 nop 004011D7 90 nop 004011D8 90 nop 004011D9 BE 09304000 mov esi, 00403009 ; ASCII "iscc2015" 004011DE \|. BF A8304000 mov edi, 004030A8 004011E3 \|. A1 35304000 mov eax, dword ptr [0x403035] 004011E8 \|. F3:A6 repe cmps byte ptr es:[edi], byte ptr> 004011EA 90 nop 004011EB 90 nop 004011EC \|. 85C9 test ecx, ecx 004011EE 90 nop 004011EF 90 nop 要Key一下才有意思啊
yypEx 雪币： 459 活跃值： (166) 能力值： ( LV9，RANK：165 ) 在线值：发帖 16 回帖 72 粉丝 2 关注私信	yypEx 2015-7-7 12:24 0 [求助]恢复一个软件的ssdt hook

{{ user_info.username }}