首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 经典问答
    3. 发新帖
求助程序检测中文系统弹出"Korea Version"关闭
发表于: 2009-11-26 15:15 4700

求助程序检测中文系统弹出"Korea Version"关闭

ourzn 活跃值
2009-11-26 15:15
4700
求助程序检测中文系统弹出"Korea Version"关闭  怎么跳过这段让程序不检测
0040AC76   .  F3:A4               rep     movs byte ptr es:[edi], byte ptr [esi]
0040AC78   .  E8 33631B00         call    005C0FB0
0040AC7D   .  83C4 0C             add     esp, 0C
0040AC80   .  85C0                test    eax, eax
0040AC82   .  75 1D               jnz     short 0040ACA1
0040AC84   .  50                  push    eax                                        ; /Style
0040AC85   .  68 C0E66A00         push    006AE6C0                                   ; |Title = "Error!!!"
0040AC8A   .  68 DCF46A00         push    006AF4DC                                   ; |Text = "Korea Version"
0040AC8F   .  50                  push    eax                                        ; |hOwner
0040AC90   .  FF15 60E56A00       call    dword ptr [<&USER32.MessageBoxA>]          ; \MessageBoxA
0040AC96   .  33C0                xor     eax, eax
0040AC98   .  5F                  pop     edi
0040AC99   .  5E                  pop     esi
0040AC9A   .  5B                  pop     ebx
0040AC9B   .  8BE5                mov     esp, ebp
0040AC9D   .  5D                  pop     ebp
0040AC9E   .  C2 1000             retn    10
0040ACA1   >  833D 3CBF7000 03    cmp     dword ptr [70BF3C], 3
0040ACA8   .  8B1D 1CE36A00       mov     ebx, dword ptr [<&KERNEL32.GetCurrentDirec>;  kernel32.GetCurrentDirectoryA
0040ACAE   .  8B35 20E36A00       mov     esi, dword ptr [<&KERNEL32.DeleteFileA>]   ;  kernel32.DeleteFileA
0040ACB4   .  0F85 CF010000       jnz     0040AE89
0040ACBA   .  33C0                xor     eax, eax

[课程]Linux pwn 探索篇！

收藏
免费 ・0
支持
分享
最新回复 (15)
lazyboy
雪    币： 212
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
0040AC82   .  75 1D               jnz     short 0040ACA1

jnz----------->jmp 试试  不过可能会出错
2009-11-26 16:41
0
怀特迈恩
雪    币： 444
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
在程序运行到 0040AC80 时，用OD修改EAX值为  非0 . 这样能过内存自效验，出错几率更小。
但是这个EAX值修改后有没有大碍啊，好像后面 0040ACB4   .  0F85 CF010000       jnz     0040AE89  不跳转的话就被清0了。
总的来说就是楼主这里可以采取修改寄存器的办法改变程序流程，这样能过内存自效验。

按2楼的办法修改 jnz----------->jmp ，跳到 short 0040ACA1后，再把 jmp----------->jnz。都占一个字节，这样也能过内存自效验（不知道这个检测不）。
2009-11-26 17:01
0
追风傲雪
雪    币： 259
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼

在程序运行到 0040AC80 时，用OD修改EAX值为0

楼主程序运行到这里 EAX 的值就是0，不然的话，地址0040AC82处的跳转就生效了，跳转生效，还会弹出出错对话框吗？
按楼上说法，应该置EAX为1才对
2009-11-26 17:12
0
怀特迈恩
雪    币： 444
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
4楼，果然是你。我不放心再看遍程序，果然我错了。你发现的过于及时。。。。。
2009-11-26 17:19
0
追风傲雪
雪    币： 259
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
呵呵 多讨论才能进步啊 我加你了
2009-11-26 17:21
0
ourzn
雪    币： 194
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
谢谢啦...
测试OK   
2009-11-26 17:21
0
ourzn
雪    币： 194
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
忘记说了..我把壳和NP外壳都去掉了..目前测试OK 谢谢各位
2009-11-26 17:23
0
ourzn
雪    币： 194
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
我的主要目的不检测语言区域...就好了..
2009-11-26 17:31
0
ourzn
雪    币： 194
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
10 楼
感谢3楼的....这个是shaiya 韩国的game.exe 他有壳 还有NP(这个东西很变态还防外挂)可能因为有了NP他不在校验内存了..当我把NP干掉(美国论坛找到专门脱NP机shaiya专用.NET写的)...修改后没啥问题

按2楼的办法修改 jnz----------->jmp ，跳到 short 0040ACA1后，再把 jmp----------->jnz。都占一个字节，这样也能过内存自效验（不知道这个检测不）。

怎么实现jmp----------->jnz
0040ACA1   >  833D 3CBF7000 03    cmp     dword ptr [70BF3C], 3
2009-11-26 17:43
0
追风傲雪
雪    币： 259
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
11 楼
楼主原来是在破解神泣的np啊？哈哈，我玩那游戏都两年多了，现在遍地都是外挂，这游戏已经废了。。
2009-11-26 17:48
0
追风傲雪
雪    币： 259
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
12 楼
莫非 天天神泣 跟 机器人 是楼主研究的成果？
2009-11-26 17:49
0
ourzn
雪    币： 194
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
13 楼
的确外挂满天飞..最近网络上有流传出韩国09年7月22日服务器端..没事搞来自己玩玩的..
2009-11-26 17:50
0
ourzn
雪    币： 194
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
14 楼
怎么可能了..我菜鸟..刚学习不久...
2009-11-26 17:50
0
ourzn
雪    币： 194
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
15 楼
现在shaiya 文件SData 都进行加密无法修改...
2009-11-26 17:52
0
怀特迈恩
雪    币： 444
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
16 楼
怎么实现jnz----------->jmp  . 机器码 75 1D 修改为 EB 1D （这些都是短跳转）

怎么实现jmp----------->jnz . 机器码 EB 1D 修改为  75 1D。

你等跳转后，恢复代码就行了。

用OD直接写汇编指令然后恢复原汇编指令。 OD会帮你改写机器码（这是在内存中改写，别保存到磁盘文件中）。
2009-11-26 22:30
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//