能力值：
( LV12，RANK：530 )
6 楼
很有趣吗？下面是我弄的，但是我对键盘消息处理不大熟悉！！！
能力值：
( LV2，RANK：10 )
8 楼
这是我2003年初写的东西，给没有思路的道友参考一下。当然，方法不止这一个，但比这个还笨的方法估计是没有了，呵呵。
能力值：
(RANK：520 )
12 楼
非常感谢老神树大侠提供的宝贵资料,我没google到全文.
能力值：
( LV2，RANK：10 )
13 楼
非常感谢老神树大侠提供的宝贵资料,我没google到全文.
如Readme.txt中所讲，这是我2003年年初写的，没有在网上发布，所以你找不到，呵呵。
不懂,pe格式,一边盯着大侠的文章看，一般查pe格式相关资料,对于文章描述的主要内容终于有所领会,
祝贺netwind大侠步入Reverser行列！（或许您太谦虚啦，呵呵）
1.insert 4 bytes at 0x2054,我觉得这里放hotkey函数名的偏移地址是吗?那么another 4 bytes at 0x20FC,在0x20fc这个地方准备插入什么内容,为什么要 选在0x20fc这个地方呢?
文章是针对另外一个程序所写的，所以地址跟Reverseme1不合。
2.and 17 bytes before 0x21ED for the mentioned function name,请问function name: RegisterHotKey 共14个字符,加结束字符'\0'共15个那么插入的17个字符,另外两个字符是什么呢?
弄清楚它，先要了解IMAGE_IMPORT_BY_NAME结构，我们一起来学习学习...
IMAGE_IMPORT_BY_NAME STRUCT
Hint dw ?
Name1 db ?
IMAGE_IMPORT_BY_NAME ENDS
结构中的Hint字段（dw是一个word，也就是两个bytes）可以表示函数的序号，不过有些编译器总将它置为0。你可以试试，从PE文件中随便找一个函数，将这两个字节改为0，你会发现程序照样运行，不受其影响。为什么呢？因为在程序编译时，编译器将IMAGE_THUNK_DATA（double word）的最高位置为0，也就是表示函数以字符串类型的函数名方式导入，这是IMAGE_THUNK_DATA这个双字（double word）的值就是一个RVA。
我用16进制编辑工具看pe文件发现函数名前面都有两个字节的内容,并且后面有的有一个结束符\0有的有两个.
从前一个问题的分析，你就明白：有2个\0的原因是下一个函数的Hint字段首字节为\0。
如果我把RegisterHotKey 这个字符串插入pe,它的前面是不是要填两个字节的内容呢,填什么内容呢?
如上所述，这里随便填（填上女朋友的名字？呵呵）。
不知道我说明白了没有，建议在网上找一个PE文件格式的资料看看。
PS：玩过RM1和RM2的道友知道，Reverseme1玩的是导入表；Reverseme2玩的是导出表；Reverseme3呢？......
能力值：
(RANK：520 )
14 楼
非常感谢老神树大侠详细的指导,问题弄明白了.
能力值：
( LV2，RANK：10 )
16 楼
Originally posted by netwind
问题找到了吗？把你有问题的修改程序发到我的信箱或发到这里。
能力值：
(RANK：520 )
17 楼
这个是我修改的文件,把函数名和rva表都加在了pe的最后,麻烦您看下.
非常感谢,觉得玩reverseme让对学pe的兴趣很浓厚.
今晚做车回老家了,可能要离开电脑一周了.
祝福老神树大侠新年快乐.
感谢kanxue提供如此一个有浓厚技术氛围的交流环境!
祝福论坛每一网友新年快乐!
上传的附件：
