【过程简介】：QQ上一号称超靓MM非要让我想办法，不要输会员号就登陆这个外挂...寒...先视频，晕啊  果然超靓....说不行的话，面子往难搁，想更进一步就难了...小弟我菜鸟都算不上了，硬这头皮上 略有下文，愚蠢之处 各位大大千万别见笑...

外挂下载地址：http://219.153.12.147:66/10/jymf1108.exe
解压超慢...

主程序o2cube***.exe
PEID一下UltraProtect 1.x -> RISCO Software Inc.(解压慢原来是加了这壳的原因)
连接器版本：2.25

俺是壳盲，不打壳的主意.2.25一看就是delphi程序了。嘿嘿 正在学
运行这个外挂，发现要先点N个广告注册会员号才能登陆，而且只能用一天.没想到这个外挂有上万人用...晕啊
好不容易注册了个会员，登陆 然后出现另一个窗体，显示了外挂功能界面。截包->分析算法?偶不会..

郁闷啊 想想delphi编程如果有创建了多个窗体，启动时只有第一个被创建的才显示。于是用Spy++查了下，
果然Form1,Form2窗体都创建好了,Form1是外挂功能窗体，Form2是登陆界面.

那么在工程文件应该是这样被创建的.

  Application.CreateForm(TForm2, Form2);
  Application.CreateForm(TForm1, Form1);

而现在这个外挂功能界面 和 登陆界面是独立的，Form2只是个跳板。如果Form1里面没有暗桩什么的...那
我把它们创建的顺序置换一下不就OK了？

于是自己做了这样的project1.exe,DeDe 一下,project.dpr的部分内容如下：

* Reference to class TForm2
|
004510FD   8B15200D4500           mov     edx, [$00450D20]            ;创建了Form2

...

* Reference to class TForm1
|
00451115   8B15740B4500           mov     edx, [$00450B74]            ;创建了Form1

.....

大侠你一定发现了,将两个指令置换就OK。可外挂加壳了，如之奈何？

Waiting 4 u,超靓MM。。。。

。。。打住，似乎眼睛浮现某位老大 delphi 入口 Rumtime  ～～山穷水尽又一村？（好像是人称“某人”的老大）
运行外挂，WinHex看内存 找到！往上，哈哈
终于看到期待的 8B 15 哈 ，程序已经运行，手工置换肯定不行。

这时，又一位老大 的 CreateProcess...Suspend 他好像还说那个loader没什么技术含量的...ASM代码(?LoveBoom斑竹)
遂又请教另一位老大，他转成了易语言的...没俺懂的语言...

修改这些东西 （哪位老大看到了，能给个Delphi或C版的）

Addr     Size OriginData  NewData
004BDFE0 3    B89D4B      C4294A
004BDFF8 3    C4294A      B89D4B

OK,修改完成，loader启动！ 。。。。o2cube***出现错误，需要关闭..吐血啊

菜虫我容易么...这时我来论坛上，我看到了Ollydbg 屠龙刀，连杀鸡都不行，在我手里，目前...
好歹打开下装个样子吧?!
迅雷不及掩耳盗铃,就在之时 我看到Explorer.exe这个文件名。
眼前又展现fly大侠一篇大作中似乎有 explorer.exe 这个词。。

我把loader的文件名改成 ExPloreR.eXE.再试如果不行的话我就要与那超靓MM无缘了

最后一次，不成功便成仁...
你看到了，第一次的童话出现了～

感谢你看完！ 另十分佩服Yock老大，破了那么多外挂 你快回来，把我的思念带回来。

有各位老大给我精神支持，得以欢美人心，无以为谢..小弟鞠躬了！

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)