首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
[讨论]破解大部份E外挂一招必杀
发表于: 2010-10-19 22:44 5584

[讨论]破解大部份E外挂一招必杀

黑~鲨 活跃值
2010-10-19 22:44
5584
最近调试E写的挂。发现都一个特点，所有功能都有一个

push ...
push ...
push ...
call .....
pop ....
pop ....
pop ...

这样的代码由这里开始

里面就是功能实现代码

而这个代码都是由CreateThread 建的新线程出来的。

所以。。。我们只要下CreateThread 断点，就OK了。

我调的好多E都这样，不知道别的是不是，大家可以试下。

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

收藏
免费 ・0
支持
分享
最新回复 (8)
nevsayno
雪    币： 333
活跃值： (46)
能力值： ( LV3，RANK：30 )
在线值：
发帖
回帖
粉丝
私信
2 楼
强悍！     有空去测试
2010-10-20 21:49
0
hellotong
雪    币： 258
活跃值： (84)
能力值： ( LV5，RANK：60 )
在线值：
发帖
回帖
粉丝
私信
3 楼
有点没听明白，举个例子就更好了
2010-10-20 22:23
0
影子情人
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
强烈要求LZ举个例说明一下哈，谢谢
2010-10-21 02:16
0
黑~鲨
雪    币： 94
活跃值： (10)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
5 楼
比如，用E写的程序，无论是热键的，还是按扭的。

只要触发事件，E就会新建一个线程去完成这个事件过程。

我们对CreateThread 下断就会得到新线程的线程地址。

再在新线程地址下断点。我们就会到达事件过程代码，

一般就是像

push ...
push ...
push ...
call .....
pop ....
pop ....
pop ...

这样的代码

再就自己进call去跟踪了。。。。。。。
2010-10-24 14:52
0
黑~鲨
雪    币： 94
活跃值： (10)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
6 楼
本人太懒了，不想去举例。。。。。。。

我想我这样说你们应该明白了，

下CreateThread 断点，再按功能按扭，即可断下来，

。。。。。。。后面的就自己去处理了。
2010-10-24 14:56
0
homily
雪    币： 227
活跃值： (25)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
7 楼
你一定是碰到的软件都是用线程写的。

我编译了好多个 无论是e格式的 还是vc格式的e程序

（e最高版本支持静态代码编译） 都没有楼主你说的情况
2010-10-24 23:42
0
pady
雪    币： 212
活跃值： (47)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
不知道有没有通用的效果
2010-10-25 09:42
0
榻榻米
雪    币： 295
活跃值： (11)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
看起来貌似还不错啊。。
2010-10-26 16:05
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//