网站 › 『=悬赏求助=』 › 可可验证，eno进功能窗口，之后程序退出

Leisure 发表于 2017-7-31 11:47

可可验证，eno进功能窗口，之后程序退出

本帖最后由 Leisure 于 2017-7-31 15:27 编辑

1.首先查了一下壳
主程序无壳，直接OD进去
2.入口点，入口点是这样的
是不是加了SE壳啊？那为什么 查不出来呢？
3.直接ENO方法
OD进401000，查找字符串，能找到eno
向下看，找到cmp修改为1，这些我就不贴图了，大佬们
返回401000ctrl+b 查找FF25，找到退出
004263A5\.FF15 34626B00 call dword ptr ds:[<&KERNEL32.ExitProces>; \ExitProcess
段首retneno找到的地址及修改后的数据
00401E49      837D EC 00    cmp dword ptr ss:,0x0
00401E49      837D EC 01    cmp dword ptr ss:,0x1

00426390      55            push ebp
00426390      C3            retn
4.运行，进去点登陆是可以登陆的，进入到功能界面，等个2秒就自动退出了

问题：
1这个程序肯定有暗装，但是小白发现不了，是二次DLL验证还是高级API什么的？
2这个程序是不是用的高级API呢？小白只能搞点简单的，高级api据说要补码什么的，大佬们能不能给个教程，我学习学习
程序下载：https://share.weiyun.com/162082566add18c1fb750b2aec7ef21f
在此多谢大佬
有大佬说这个是图图验证，应该和可可差不多的，另外就是在虚拟机里面直接eno是会运行到功能窗口但是出错的，在主机上面运行是在功能窗口过2秒左右退出，另有暗装，建议影子系统下测试

2017666 发表于 2017-7-31 11:47

花了2个多小时搞这玩意，，，话说100是不有点少加吧 加了给你教程{:6_211:}

阿木木_ 发表于 2017-7-31 12:01

暗装没有处理，找找别的暗装

Leisure 发表于 2017-7-31 12:06

阿木木_ 发表于 2017-7-31 12:01
暗装没有处理，找找别的暗装

大佬，像这样的不是把退出暗装去掉就可以了嘛？
其他的暗装我并没有找到啊

a260967星星 发表于 2017-7-31 12:15

a260967星星 发表于 2017-7-31 12:19

Leisure 发表于 2017-7-31 12:21

a260967星星 发表于 2017-7-31 12:19
PJ了，几分钟搞定

大佬，我忘了说了，这个在虚拟机里面是到这里就停了，但是在主机上面是直接退出，应该是有虚拟机检测，而且在主机上面还有暗装，建议影子系统下操作哦

Leisure 发表于 2017-7-31 12:28

a260967星星 发表于 2017-7-31 12:19
PJ了，几分钟搞定

大佬，我在主机里面测试了，你这个也是一样的退出的

阿木木_ 发表于 2017-7-31 12:35

Leisure 发表于 2017-7-31 12:28
大佬，我在主机里面测试了，你这个也是一样的退出的

按钮事件找暗装，保证你能找一堆

繁花丶 发表于 2017-7-31 12:45

{:5_188:} 你要是再加点HB我可以考虑帮你山寨

查看完整版本: 可可验证，eno进功能窗口，之后程序退出