-
-
字符串问题
-
发表于: 2011-11-30 19:23
-
我有个软件，无壳。OD里可以找到很多字符串，可就是标题“无论怎样都搜索不到，用C32和UE都试过。也尝试过下字符串断点，可下断点后，程序在OD中直接运行，不中断。这个问题搞了好几天了。现向各位大牛们请教修改标题方法，谢谢各位了。
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
找到创建这个窗口(CreateWindow)的地方，有个参数指定拉这个窗口Caption，在那的去应该可以灭哦！
|
|
|
|
|
|
bp CreateWindowExA
第一次中断即可看到窗口标题，具体参考MSDN http://msdn.microsoft.com/en-us/library/ms632680(VS.85).aspx 注意第三个参数lpWindowName HWND WINAPI CreateWindowEx( __in DWORD dwExStyle, __in_opt LPCTSTR lpClassName, __in_opt LPCTSTR lpWindowName, __in DWORD dwStyle, __in int x, __in int y, __in int nWidth, __in int nHeight, __in_opt HWND hWndParent, __in_opt HMENU hMenu, __in_opt HINSTANCE hInstance, __in_opt LPVOID lpParam ); 具体看截图：  修改后效果： 
|
|
|
|
|
|
|
|
|
|
|
|
我找到了标题，并作如下图的修改，保存后标题无任何变化。试了好几次。没办法了，请教大牛们了！
 |
|
|
bp CreateWindowExA
找到的只是解密后的标题 而软件真正的标题是加密存在的 你可以在00405B00处下 硬件写入断点，然后Ctrl+F2重载程序，F9运行即可断下 轻松找到解密处  我用Python写了一个模拟加密算法，很简单，运行效果如下：  模拟加密脚本：
def encode(title):
result = []
for i in range(len(title)):
result.append(hex((ord(title[i])^9)+9))
result.append('0x00')
return result
print "Please modify 'Gh0st2012.exe':\nPos: 315Ch(12636d)\tLength: Less 30 bytes"
print encode(raw_input('Title: '))
加密后的标题内容位于软件315Ch字节处 长度为30字节 运行上面脚本，你可以自定义一个标题，然后根据返回的字节值用十六进制编辑器从315Ch处开始修改文件即可 比如模拟修改为：  修改后运行效果： 
|
|
|
|
|
|
刚按你说的，打开脚本如图：
 F5运行结果出错！如图：  结束如图： 
|
|
|
|
|
|
|
|
|
我打开脚本如图：
 F5运行后如图：没输出加密数据啊 
|
|
|
 如果不太熟悉先不要随便改脚本 原脚本这一句： print encode(raw_input('Title: ')) F5运行后会出现： Please modify 'Gh0st2012.exe': Pos: 315Ch(12636d) Length: Less 30 bytes Title: 在“Title:”后面输入待测试标题，然后回车就会输出加密字节 |
|
|
首先拜一下上面的兄弟，这么周到。
我比较懒，直接patch掉对解密函数的调用： 0044EDAE E8 6DFEFFFF call < 解密函数> //nop掉就OK了 然后找到标题的原始密文： 0040315C 长度0x1D 字符串以零结束 改成什么都可以了 记得字符串以零结束。 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
