如何把dll劫持补丁数据找出来了？
https://hkyingxiao.lanzouv.com/ivxll2pjq0kd
这种winmm.dll是没有VM，有个vmp壳，不影响查看数据，找不到写入补丁数据，高手帮看看，写入啥补丁数据

提供对应的程序？

没程序看不了

简简单单，有手就行，用意念就可以了

boot 发表于 2025-3-4 18:26
提供对应的程序？

这个dll就是补丁，补丁里面内容能看见吗？

这太简单了吧，打开原版的和打过补丁的破解版本的对比一下内存就知道了
具体操作方法如下：

2、两个程序内存对比（共有两种方法）

第一种方法 → 两个静态程序的内存对比（静态是指程序还没运行起来）

打开两个OD，把原版拉进一个OD，把破解版拉进另一个OD，让两个程序处于暂停状态 (32位进程软件用OD或x32dbg ● 64位进程软件x64dbg)

然后通过打开任务管理器或其他方式 → 查看两个程序的进程ID

[1]  〓  填写原版进程ID → 打开进程 → 读取原始内存

[2]  〓  填写破解版进程ID → 打开进程 → 开始对比内存

这样两个“没运行起来”的程序的不同内存地址就对比出来了


第二种方法 → 两个程序“运行后”的内存对比

操作方法：把原版和破解版同时打开

[1]  〓  填写原版进程ID → 打开进程 → 读取原始内存

[2]  〓  填写破解版进程ID → 打开进程 → 开始对比内存

这种方法适合“程序运行起来”后才被修改内存地址，比如某些“劫持补丁”修改的数据！

但是→不是所有劫持补丁都是程序运行起来后才改写的，也有的是加载到劫持补丁模块就修改内存了（这种的话用第一种方法就能对比出来了）

第二种方法包含了“第一种方法的不同内存地址”，同时会多出一些自身正常变动的地址，一般“连续相近”的地址都是属于自身正常变动的地址！

通常“不相近的地址”才有可能是被修改的内存地址！可以根据自己情况来进行不同操作方法！

小闹钟 发表于 2025-3-5 11:00
这太简单了吧，打开原版的和打过补丁的破解版本的对比一下内存就知道了
具体操作方法如下：

这个软件地址能给一下吗 之前的分享 链接没了

winmm.dll不是系统二大妈

JuStkK 发表于 2025-3-5 11:22
这个软件地址能给一下吗 之前的分享 链接没了

论坛1.7福利版我也没有保存有，更新1.8后就取消了，但有十几个人下载有，你可以找别人问问看吧

学编程的闹钟 发表于 2025-3-5 11:40
winmm.dll不是系统二大妈

就是劫持补丁啊，系统劫持补丁啊，就这个dll