首页
社区
课程
招聘
[原创]修正 Import REConstructor v1.7c Final 的列表框内容为 PID + 路径方式(中英双语版)
发表于: 2009-6-5 11:01 5674

[原创]修正 Import REConstructor v1.7c Final 的列表框内容为 PID + 路径方式(中英双语版)

2009-6-5 11:01
5674
包中已增加汉化版(汉化版中的非标资源来自:心海伽蓝汉化的 1.7 F 版中直接 16 进制全部提取,标准资源部分参考了 cxlrb 1.6 版本和 心海伽蓝 1.7 版本中的内容,并重新制作,感谢他们之前的付出。)
之前下载过的朋友请重新下载,修正了英文版中选项对话框里有一项显示不全的问题。


每次脱壳遇到文件长路径就想鄙视 Import REConstructor  的路径和 PID 的排列位置
今天就给 Import REConstructor  做了个毁容手术。





第一步

随便用OD或进制工具到下面地址修改代码,主要是为了显示格式的需要,我们把原来的格式反转过来为 ID + 路径方式
地址:00462598
原始:25 73 20 28 25 30 38 58 29
修改:28 25 30 38 58 29 20 25 73
第二步

关键位置在第一处,第二处不改正常情况没发现什么问题,不过感觉第二处有可能会有经过的时候,所以一起改掉,如果日后发现有问题请自己改回,这里的修改主要是为配合第一处修改后的参数传递顺序,也改为 ID + 路径的方式

第一处:
原始
0041C034      51            PUSH ECX
0041C035      52            PUSH EDX
十六进制代码:51 52
修改
0041C034      52            PUSH EDX
0041C035      51            PUSH ECX
十六进制代码:52 51
第二处:
原始
0041C13D   .  51            PUSH ECX
0041C13E   .  52            PUSH EDX
十六进制代码:51 52
修改
0041C13D      52            PUSH EDX
0041C13E      51            PUSH ECX
十六进制代码:52 51
第三步

上面改好后现在就已经可以正常显示了,但当打开进程的时候就会出错,简单分析了一下代码,程序是通过把得到的 PID + 路径按原来的路径加 PID 的方式去处理的,就导致无法打开进程,这里用了个取巧的方法,在不影响正常显示的情况下我们把我们得到的 PID + 路径字符串在程序处理打开进程之前还原回 路径 + PID 的方式然后在让程序去继续处理。

代码如下,下面代码的主要作用其实就是相当于把字符串按需要的格式翻转,有需要的朋友简单跟一下就明白了,就不注释了,很简单的东西。顺便说一下,这段代码我放到了.DATA 段,好处是这个段的属性是可读,可写,可执行,所以后面的数据处理也在这个段里处理的,不过原程序中没用空间,所以我把这个段的 RSIZE 调整到了0x2000 如果大家修改自己的版本,可以自己处理这个问题。

下面代码可以利用 OD 的 NonaWrite 1.2 插件直接插入程序。
0041C59C      8BC8          mov ecx,eax
0041C59E    - E9 5DFC0500   jmp ImportRE.0047C200

0x0047c200:
LEA EDI,DWORD PTR SS:[ESP+26C]
pushad
pushfd
MOV EDX,EDI
push 0
CALL DWORD PTR DS:[44D234]
ADD EAX,7CE00
MOV ESI,EDI
MOV EDI,EAX

xor ebx,ebx
mov bl,cl
sub bl,0b
ADD ESI,0B
MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
DEC BL
TEST BL,BL
JNZ SHORT 0047C227
MOV BYTE PTR DS:[EDI],20

INC EDI
MOV BL,0A
MOV ESI,EDX
MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
DEC BL
TEST BL,BL
JNZ 0047C23b

MOV BL,CL
MOV ESI,EAX
MOV EDI,EDX
MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
DEC BL
TEST BL,BL
JNZ 0047C24C

POPFD
POPAD
JMP 0041C5A3


重新上传,已修正了 8 楼的问题

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

上传的附件:
收藏
免费 0
支持
分享
最新回复 (24)
雪    币: 1450
活跃值: (35)
能力值: (RANK:680 )
在线值:
发帖
回帖
粉丝
2
深有同感啊, irc这点的确很不爽~
每次都被藏了PID.  路径长一点都看不到exe文件~

P.S.  如果LZ改成鼠标停留提示, 那样效果更好`
2009-6-5 12:03
0
雪    币: 1072
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
这个问题碰到过!期待楼主把修改内容和过程发上来!
2009-6-5 14:51
0
雪    币: 191
活跃值: (345)
能力值: ( LV9,RANK:450 )
在线值:
发帖
回帖
粉丝
4
修改笔记已发
2009-6-6 07:04
0
雪    币: 191
活跃值: (345)
能力值: ( LV9,RANK:450 )
在线值:
发帖
回帖
粉丝
5
更新一下。修正了一个设置选项中显示的错误,同时新增加了一个汉化版
2009-6-7 19:38
0
雪    币: 246
活跃值: (10)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
6
支持楼主,这样就方便多了啊
2009-6-8 13:36
0
雪    币: 0
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
恩,这下方便了很多啊
2009-6-9 11:55
0
雪    币: 236
活跃值: (69)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
为什么修改后的版本在我的系统上始终无法打开进程呢:(
用OD跟踪后发现,第三步的PATCH无法将格式转回原来的
OS:PWin2k3 SP2
2009-6-9 13:56
0
雪    币: 191
活跃值: (345)
能力值: ( LV9,RANK:450 )
在线值:
发帖
回帖
粉丝
9
你照我的代码自己PATCH一下。对比下地址。我系统是 xp sp3 的。可能有跨平台问题。
2009-6-9 14:21
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
支持楼主,这样就方便多了啊
2009-6-11 00:26
0
雪    币: 202
活跃值: (15)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
第三部开始条状处改成这样看行不行
0041C59C    - E9 5FFC0500   JMP 0047C200
改成
0041C59C      8BC8          mov ecx,eax
0041C59E    - E9 5DFC0500   jmp ImportRE.0047C200
2009-6-12 12:16
0
雪    币: 202
活跃值: (15)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
12
第三部开始条状处改成这样看行不行
0041C59C    - E9 5FFC0500   JMP 0047C200
改成
0041C59C      8BC8          mov ecx,eax
0041C59E    - E9 5DFC0500   jmp ImportRE.0047C200
2009-6-12 12:17
0
雪    币: 236
活跃值: (69)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
13
有用,谢谢!!
2009-6-14 10:05
0
雪    币: 71
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
14
无法打开进程。。。。
2009-6-18 15:35
0
雪    币: 1254
活跃值: (720)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
15
前几天的版本有崩溃,现在没有问题了。好用。谢谢
2009-6-19 14:18
0
雪    币: 864
活跃值: (2345)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
16
LZ真帅!PID的好用多啦!
看见深路径
不怕不怕了!
2009-6-19 23:35
0
雪    币: 191
活跃值: (345)
能力值: ( LV9,RANK:450 )
在线值:
发帖
回帖
粉丝
17
重新上传,已修正了 8 楼的问题
2009-6-20 02:16
0
雪    币: 209
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
18
谢谢无私分享的精神,谢谢了。
2009-7-18 13:59
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
19
重建输入表这个太好用了。。
2009-7-20 13:17
0
雪    币: 212
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
20
好东西。真是感谢啊!
2009-7-29 17:31
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
21
好东西!收下了!
2009-8-5 15:10
0
雪    币: 201
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
22
感谢分享 辛苦了
2009-8-28 18:10
0
雪    币: 160
活跃值: (38)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
23
終於解決了 這個問題,不錯~~~
2009-8-28 19:27
0
雪    币: 202
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
24
好东西下载 了
2009-9-8 02:47
0
雪    币: 212
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
25
收藏,thank
2009-9-8 17:59
0
游客
登录 | 注册 方可回帖
返回
//