首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
XP记事本被我PE成垃圾,~~~~
发表于: 2004-10-20 21:04 13334

XP记事本被我PE成垃圾,~~~~

qiweixue 活跃值
19
2004-10-20 21:04
13334

XP记事本被我PE成垃圾,~~~~~~高手别进了,浪费时间~~~
最近时间比较忙,只是敢兴趣~~偶是一只菜鸟~~~
界面很难看,没有加菜单,很简单,但也很垃圾~~(有时间加入菜单)
让我的Xp的记事本打开一个事例，没有别的意思，只是看到满屏幕的记事本有些烦，顺便改一改(好像有一篇QQ单开受启发吧,自己搞了一下,玩完,);用到的API函数，如FindWindowA来检测记事本的事例是否存在，IsDebuggerPresent检验NT调试器，同时，检测了OD的的存在用的是FindWindowA，用ShellExecuteA打开了htt:\\www.pediy.com 的网址，用打开了本地一OUTlook，可以同时到看雪，同时发邮件; 还可以编辑文本（可是倒贴钱也没有人要，要是有兴趣，那自己做了一 个吧，:=）很简单；什么别的意思，代码不多
我在记事本里用到API函数，这里就不一一声明了，
用到是FindwindowA，LoadLibraryA GetProcAddress ShellExecuteA MessageBoxA等在www.baidu.com很好找到它们的声明；

工具：lordpe，  od，  Hex workshop
声明：不可以增强自己的调试能力，不有利于（不知道）・・・就是加几个API函数,相信你也能~~~
第一步，先用lordpe加入我们要引入的函数
第二步，再用od写代码；

下面要讲到；写入的代码不是很多；

第一步：
用lordpe就可以加你要的函数,(也可以用hex的写输入表,在引入函数,)不多说了;
对了,先把记事本的BoundImport表清0(不要绑定输入,我们好引入函数),lordpe打开记事本
选ImportTable表,add import 表,加入一个USER32.DLL库,在加上FindWindowA与MessageBoxA
选上这个view always Firstthunk,如下:
ThunkRva  ThunkOFfset  ThunkValue  Hint    APIName
00013027   00010227    0001300b    0000    FindWindowA   
0001302b   0001022b    00013019    0000    MessageBoxA
再加入一个kernel32.dll库，加一个ExitProcess ，API

ThunkRVA          Thunkoffset    ThunkValue   Hint       APIName
0001304e           0001024e      00013040     0000        ExitProcess
00013083           0001024e      0001024e     0000        LoadLibraryA
00013087           0001024e      0001024e     0000        GetProcAddress
                  

好保存,ThunkRva（记好引入函数的RVA） 对我们有用,一会将用到;

第二步：
打开od改入口,让指令跳到我们的代码出,再找空隙;以下是我的及时本的OEP，要保留好，改完要用到；
01006AE0 N> $  6A 70             push 70
01006AE2    .  68 88180001       push NOTEPAD.01001888
01006AE7    .  E8 BC010000       call NOTEPAD.01006CA8
01006AEC    .  33DB              xor ebx,ebx
01006AEE    .  53                push ebx                                        ; /pModule => NULL
01006AEF    .  8B3D 4C110001     mov edi,dword ptr ds:[<&KERNEL32.GetModuleHandl>; |kernel32.GetModuleHandleA
01006AF5    .  FFD7              call edi                                        ; \GetModuleHandleA
                                 
好,原来没有改oep要记好了,改完要用到;

一下是我找的第一快空隙,空隙很好找；看到都是0000的大都就可以用，不都说了；
01007D71       00                db 00
01007D72       00                db 00
01007D73       00                db 00
01007D74       00                db 00
01007D75       00                db 00
01007D76       00                db 00
01007D77       00                db 00
01007D78       00                db 00
01007D79       00                db 00
01007D7A       00                db 00
01007D7B       00                db 00
01007D7C       00                db 00
01007D7D       00                db 00
01007D7E       00                db 00

这里我改好了所有代码，改好的OEP
我改了入口之后：
01006AE0 N> $  60                pushad
01006AE1    .  9C                pushfd
01006AE2    .  E9 8A120000       jmp NOTEPAD.01007D71  跳到找到的空隙
01006AE7    >  E8 BC010000       call NOTEPAD.01006CA8
01006AEC    .  33DB              xor ebx,ebx
01006AEE    .  53                push ebx                                        ; e
01006AEF    .  8B3D 4C110001     mov edi,dword ptr ds:[<&KERNEL32.GetModuleHandl>;
01006AF5    .  FFD7              call edi                                        ;

空隙要找足够大，第一次的时候，我就是空隙不足，很严重~我用加了新区块物理地址大小1000，够大了~~其实都浪费了:=(）以下是我在空隙该里写入的代码：
01007D71    > \6A 00           push 0                                         ; /Title = NULL
01007D73    .  68 E0810001     push NOTEPAD.010081E0                          ; |Class = "Notepad"
01007D78    .  FF15 27300101   call dword ptr ds:[<&user32.FindWindowA>]      ; \FindWindowA
01007D7E    .  83F8 00         cmp eax,0
01007D81    .  74 1D           je short NOTEPAD.01007DA0
01007D83    .  90              nop
01007D84    .  6A 00           push 0                                         ; /Style = MB_OK|MB_APPLMODAL
01007D86    .  68 F0810001     push NOTEPAD.010081F0                          ; |Title = " Only Run One; "
01007D8B    .  68 00820001     push NOTEPAD.01008200                          ; |Text = "Warning Only runing One~"
01007D90    .  6A 00           push 0                                         ; |hOwner = NULL
01007D92    .  FF15 2B300101   call dword ptr ds:[<&user32.MessageBoxA>]      ; \MessageBoxA
01007D98    >  6A 00           push 0                                         ; /ExitCode = 0
01007D9A    .  FF15 4E300101   call dword ptr ds:[101304E]                    ; \ExitProcess
01007DA0    >  90              nop
01007DA1    .  6A 00           push 0                                         ; /Style = MB_OK|MB_APPLMODAL
01007DA3    .  68 20820001     push NOTEPAD.01008220                          ; |Title = "First Runing Me"
01007DA8    .  68 40820001     push NOTEPAD.01008240                          ; |Text = "Hello,GoodLuck~"
01007DAD    .  6A 00           push 0                                         ; |hOwner = NULL
01007DAF    .  FF15 2B300101   call dword ptr ds:[<&user32.MessageBoxA>]      ; \MessageBoxA
01007DB5    .  90              nop
01007DB6    .  68 50820001     push NOTEPAD.01008250                          ; /pModule = "KERNEL32.dll"
01007DBB    .  FF15 4C110001   call dword ptr ds:[<&KERNEL32.GetModuleHandleA>; \GetModuleHandleA
01007DC1    .  8BD0            mov edx,eax
01007DC3    .  68 60820001     push NOTEPAD.01008260                          ; /ProcNameOrOrdinal = "IsDebuggerPresent"
01007DC8    .  52              push edx                                       ; |hModule
01007DC9    .  FF15 83300101   call dword ptr ds:[1013083]                    ; \GetProcAddress
01007DCF    .  8BD8            mov ebx,eax
01007DD1    .  90              nop
01007DD2    .  6A 00           push 0
01007DD4    .  FFD3            call ebx
01007DD6    .  83F8 00         cmp eax,0
01007DD9    .  74 17           je short NOTEPAD.01007DF2
01007DDB    .  6A 00           push 0                                         ; /Style = MB_OK|MB_APPLMODAL
01007DDD    .  68 30820001     push NOTEPAD.01008230                          ; |Title = "Warning!!!"
01007DE2    .  68 74820001     push NOTEPAD.01008274                          ; |Text = "Can not debug me!!!:=("
01007DE7    .  6A 00           push 0                                         ; |hOwner = NULL
01007DE9    .  FF15 2B300101   call dword ptr ds:[<&user32.MessageBoxA>]      ; \MessageBoxA
01007DEF    .  90              nop
01007DF0    .^ EB A6           jmp short NOTEPAD.01007D98
01007DF2    >- E9 09A20000     jmp NOTEPAD.01012000   ==》》跳到我另一个空隙以为在往下写会pp的（很难看啊~~）

又一个空隙这一块代码就是上边条过来的（代码大多od都注释了，不在一一注释了）
01012000     68 90820001       push NOTEPAD.01008290                          ; ASCII "SHELL32.dll"
01012005     FF15 87300101     call dword ptr ds:[1013087]                    ; kernel32.LoadLibraryA
0101200B     8BD0              mov edx,eax
0101200D     90                nop
0101200E     68 9C820001       push NOTEPAD.0100829C                          ; ASCII "ShellExecuteA"
01012013     52                push edx
01012014     FF15 83300101     call dword ptr ds:[1013083]                    ; kernel32.GetProcAddress
0101201A     8BD0              mov edx,eax
0101201C     90                nop
0101201D     6A 05             push 5
0101201F     6A 00             push 0
01012021     6A 00             push 0
01012023     68 B0820001       push NOTEPAD.010082B0                          ; ASCII "http:\\www.pediy.com:80"
01012028     68 AB820001       push NOTEPAD.010082AB                          ; ASCII "open"
0101202D     6A 00             push 0
0101202F     FFD2              call edx
01012031     68 90820001       push NOTEPAD.01008290                          ; ASCII "SHELL32.dll"
01012036     FF15 4C110001     call dword ptr ds:[<&KERNEL32.GetModuleHandleA>; kernel32.GetModuleHandleA
0101203C     8BD0              mov edx,eax
0101203E     90                nop
0101203F     68 9C820001       push NOTEPAD.0100829C                          ; ASCII "ShellExecuteA"
01012044     52                push edx
01012045     FF15 83300101     call dword ptr ds:[1013083]                    ; kernel32.GetProcAddress
0101204B     8BD0              mov edx,eax
0101204D     90                nop
0101204E     6A 01             push 1
01012050     6A 00             push 0
01012052     6A 00             push 0
01012054     68 C8820001       push NOTEPAD.010082C8                          ; ASCII "mailto:YouMailAddr@WebSite.com"
01012059     68 AB820001       push NOTEPAD.010082AB                          ; ASCII "open"
0101205E     6A 00             push 0
01012060     FFD2              call edx
01012062     90                nop
01012063     EB 04             jmp short NOTEPAD.01012069
01012065     90                nop
01012066     90                nop
01012067     90                nop
01012068     90                nop
01012069     68 50820001       push NOTEPAD.01008250                          ; ASCII "KERNEL32.dll"
0101206E     FF15 4C110001     call dword ptr ds:[<&KERNEL32.GetModuleHandleA>; kernel32.GetModuleHandleA
01012074     90                nop
01012075     8BD0              mov edx,eax
01012077     68 10830001       push NOTEPAD.01008310                          ; ASCII "CloseHandle"
0101207C     52                push edx
0101207D     FF15 83300101     call dword ptr ds:[1013083]                    ; kernel32.GetProcAddress
01012083     A3 20830001       mov dword ptr ds:[1008320],eax
01012088     6A 00             push 0
0101208A     68 30830001       push NOTEPAD.01008330                          ; ASCII "Ollydbg"
0101208F     A1 27300101       mov eax,dword ptr ds:[<&user32.FindWindowA>]
01012094     FFD0              call eax
01012096     83F8 00           cmp eax,0
01012099   - 0F85 3C5DFFFF     jnz NOTEPAD.01007DDB
0101209F     6A 00             push 0
010120A1     68 38830001       push NOTEPAD.01008338                          ; ASCII "eXpLoRer"
010120A6     A1 27300101       mov eax,dword ptr ds:[<&user32.FindWindowA>]
010120AB     FFD0              call eax
010120AD     83F8 00           cmp eax,0
010120B0   - 0F85 255DFFFF     jnz NOTEPAD.01007DDB
010120B6     6A 00             push 0
010120B8     68 E8820001       push NOTEPAD.010082E8                          ; ASCII "Tankes:=)"
010120BD     68 F2820001       push NOTEPAD.010082F2                          ; ASCII "Program runing,Thank you!:=)"
010120C2     6A 00             push 0
010120C4     FF15 2B300101     call dword ptr ds:[<&user32.MessageBoxA>]      ; USER32.MessageBoxA
010120CA     9D                popfd             ；恢复栈
010120CB     61                popad
010120CC     6A 70             push 70              ；这就是原来的oep要恢复
010120CE     68 88180001       push NOTEPAD.01001888
010120D3   - E9 0F4AFFFF       jmp NOTEPAD.01006AE7      
010120D8     90                nop
010120D9     50                push eax
010120DA     8B1D 20830001     mov ebx,dword ptr ds:[1008320]
010120E0     FFD3              call ebx
010120E2   - E9 F45CFFFF       jmp NOTEPAD.01007DDB

原理很简单，不多说了！！！
~~~~很菜的，别见笑~~~~谢谢，你的支持~~~
GOOD LUCK FOR YOU AND FOR ME


[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・7
支持
分享
最新回复 (24)
qiweixue
雪    币： 258
活跃值： (230)
能力值： ( LV12，RANK：770 )
在线值：
发帖
回帖
粉丝
私信
2 楼
抱歉~!!!忘了传附件!!!
2004-10-20 21:11
0
qiweixue
雪    币： 258
活跃值： (230)
能力值： ( LV12，RANK：770 )
在线值：
发帖
回帖
粉丝
私信
3 楼
附件:NOTEPAD.rar
附件传好了:p
这各东西就是一个垃圾，大家别见笑，只是为了兴趣～
2004-10-20 21:14
0
nbw
雪    币： 339
活跃值： (1510)
能力值： ( LV13，RANK：970 )
在线值：
发帖
回帖
粉丝
私信
4 楼
支持！
以后争取加个菜单，然后用户选择功能。另外，多余的空隙不需要用90注掉。除非必要。再接再厉！
2004-10-20 21:37
0
冷静
雪    币： 108
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
加油哈,,,,,
2004-10-20 21:46
0
qiweixue
雪    币： 258
活跃值： (230)
能力值： ( LV12，RANK：770 )
在线值：
发帖
回帖
粉丝
私信
6 楼
最初由 nbw 发布
支持！
以后争取加个菜单，然后用户选择功能。另外，多余的空隙不需要用90注掉。除非必要。再接再厉！


最初由 冷静 发布
加油哈,,,,,

多谢楼上支持~~~
最近时间比较少,~~~要考加菜单也考虑了,时间真的来不及~~~
多谢建议~~
2004-10-20 21:51
0
sadan
雪    币： 212
活跃值： (70)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
7 楼
顶了 支持一下
2004-10-21 10:47
0
无奈无赖
雪    币： 117
活跃值： (20)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
厉害。
2004-10-21 11:03
0
dirty62
雪    币： 208
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
你还真有时间啊,竟然每个都注释了,不过最近我脱了个OLLYDG的壳(不知道有没有成功,入口点竟然是Retun,进去后里面很简单我想八成是没有搞定.不过至少我知道那个OLLYBG是用C++编程的,我的这个东西还没有修复函数表,所以不能运行.不知道哪为高手能帮帮我修复它(其实我是不会修复)有你们的OLLYBG有没有跳转注释的,我的没有所以老是被搞的团团转,跳到哪里也不知道.你们如果有的话能不能告诉我那是怎么搞定的.谢谢.还有我看到有人用右键发送到FI301不知道那是怎么改的我是XP的98下那C:＼WINDOWS＼SendTo不合适我用的.附件:破解后.rar
2004-10-21 11:14
0
qiweixue
雪    币： 258
活跃值： (230)
能力值： ( LV12，RANK：770 )
在线值：
发帖
回帖
粉丝
私信
10 楼
dirty62 老兄，你的问题应该发到脱壳区，
你把fi放到　windows系统目录sendto文件夹，找找看；
修复ＩＡＴ，要获得不是hook　api的支持或壳中地址，如果是跟踪加密ＩＡＴ找到正确的thunk　rva　不多说，问问脱壳区的吧～
2004-10-21 16:37
0
cobra1111
雪    币： 231
活跃值： (465)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
11 楼
呵呵 我只要开一个记事本记一个网址
结果居然檫?那么多的?西

?。。。。
2004-10-21 18:41
0
bstzxy
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
12 楼
XP下应该是C:\Documents and Settings\用户名\SendTo
:D :D :D
2004-10-21 20:40
0
海雨天风
雪    币： 212
活跃值： (55)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
13 楼
顶，支持！！！
2004-10-21 21:10
0
linhanshi
雪    币： 97697
活跃值： (200824)
能力值： (RANK：10 )
在线值：
发帖
回帖
粉丝
私信
14 楼
支持！
2004-10-21 21:10
0
nbw
雪    币： 339
活跃值： (1510)
能力值： ( LV13，RANK：970 )
在线值：
发帖
回帖
粉丝
私信
15 楼
我还以为是FLY来这里问脱壳呢。差点没郁闷掉
2004-10-21 22:23
0
yongpeng
雪    币： 159
活跃值： (89)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
16 楼
我支持支持支持支持支持支持支持支持???????????????支持支持
支持支持支持支持支持支持支持无??????????????????支持支持
支持支持支持支持支持无????????????????支持支持支持支持支持
支持支持支持支持???????无???支持?????支持支持支持支持支持无
支持无????????????支持支持支持????支持支持支持支持支持支持
无??????????????支持支持支持????支持支持支持支持支持支持
无????????????支持支持支持无???????????支持支持支持
无????????????支持支持支持??????????????支持支持
支持??????????支持支持无??????支持无???????支持支持
支持支持支持支持????支持支持无????支持支持支持?????支持支持无
支持支持支持支持????支持支持????支持??支持无?????支持支持无
支持支持支持支持????支持支持????支持????无?????支持支持无
支持支持支持支持????支持支持????支持????无?????支持支持无
支持支持支持支持????支持支持????支持???支持?????支持支持无
支持支持支持支持????支持支持????支持???支持?????支持支持无
支持支持支持支持????支持支持????无????支持?????支持支持无
支持支持支持支持????支持支持????无????支持?????支持支持无
支持支持支持支持????支持支持????无????支持?????支持支持无
支持支持支持支持????支持支持????无????支持?????支持支持无
支持支持支持支持????支持支持???支持????支持?????支持支持无
支持??支持无?????支持支持???支持???支持无?????支持支持无
支持??????????支持支持无??支持??支持支持?????支持支持无
支持无?????????支持支持支持支持???支持支持无????支持支持无
支持支持无???????支持支持支持支持???无????支持支持支持支持无
支持支持支持??????支持支持支持无????支持?????支持支持支持无
支持支持支持支持无???支持支持支持?????支持无???????支持支持
支持支持支持支持支持支持支持支持??????支持支持无??????支持支持
支持支持支持支持支持支持支持无??????支持支持支持???????支持无
支持支持支持支持支持支持支持?????支持支持支持支持无??????支持无
支持支持支持支持支持支持无?????支持支持支持支持支持无????支持支持
支持支持支持支持支持支持???支持支持支持支持支持支持支持 支持支持支持支持
2004-10-22 02:38
0
凌晨
雪    币： 201
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
17 楼
强啊！
2004-10-23 01:42
0
king2004
雪    币： 409
活跃值： (40)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
18 楼
ding!
2004-10-23 15:38
0
mhsong
雪    币： 205
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
19 楼
顶一下，因为...

楼主跟我是老乡，嘻嘻~
2004-10-24 21:50
0
qiweixue
雪    币： 258
活跃值： (230)
能力值： ( LV12，RANK：770 )
在线值：
发帖
回帖
粉丝
私信
20 楼
最初由 mhsong 发布
顶一下，因为...楼主跟我是老乡，嘻嘻~


mhsong 山东的,尼奥啊~~，嘿嘿~~~
:D :D 老乡:D :D
2004-10-25 12:06
0
confer
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
21 楼
呵呵!!9楼的GG真有心啊!PFPF呀!
2004-10-26 09:20
0
kk378
雪    币： 318
活跃值： (11)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
22 楼
从最基础的学起
2004-10-27 10:44
0
china
雪    币： 3685
活跃值： (4237)
能力值： (RANK：215 )
在线值：
发帖
回帖
粉丝
私信
23 楼
山东的，me,too
2004-10-28 21:09
0
qiweixue
雪    币： 258
活跃值： (230)
能力值： ( LV12，RANK：770 )
在线值：
发帖
回帖
粉丝
私信
24 楼
china
是么山东的啊~~~~:D :D 支持~~~
偶也是啊~现在在济南上学ing~:D (不过郁闷ing)
2004-10-28 21:55
0
Meteo
雪    币： 7
活跃值： (30)
能力值： (RANK：10 )
在线值：
发帖
回帖
粉丝
私信
25 楼
哇靠，我也山东地:D
2004-10-28 23:33
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//