请教一下劫持补丁打不上的问题

1209325276 · 发表于 2021-4-25 18:21

本帖最后由 1209325276 于 2021-4-25 18:22 编辑

这个cnmx.QD文件是一个程序的二次验证，释放在C盘查了下是无壳的天盾
QQ截图20210425180223.png

拖入od可以看到是加载了winspool.drv的但是补丁数据没有打上

留下了没技术的泪水.JPG
QQ截图20210425180402.png

这样写不知道有没有毛病…… 但是编译出来依旧打不上 pyg的dll我也挨个试了试发现八行

补丁地址0850C1EA B801000000C9C39090
补丁地址085C635D 393939424800636D64202F636D6B6C696E6B2022433A5C41792E434458222022
全部身家奉上，恳请各位好哥哥指导

文件地址：https://wwa.lanzouw.com/ivbKEohki7g

查毒地址：https://habo.qq.com/file/showdetail?pk=ADcGY11kB2MIMVs1U2s%3D

E少 · 发表于 2021-4-25 18:21

最佳答案本应属于楼主私有，因此限制查看

您还有0次查看次数，点此查看答案

点此购买查看次数
也可以兑换VIP特权或加入解密专家，每日可免费查看5次最佳答案！

阮少小哥哥 · 发表于 2021-4-25 18:29

winspool.drv不是应该放要被逆向程序的同一路径吗

xiaomajj · 发表于 2021-4-25 18:37

劫持文件放在同目录加载的是加载系统的不是加载你劫持的DLL 如果还是不可以可以用PC或者火绒看他加载的DLL 然后劫持该DLL

1209325276 · 发表于 2021-4-25 18:42

xiaomajj 发表于 2021-4-25 18:37
劫持文件放在同目录加载的是加载系统的不是加载你劫持的DLL 如果还是不可以可以用PC或者火绒看他加载的D ...

意思是把劫持补丁和主程序和二次验证的文件放到同一目录吗，那劫持他加载的dll是怎么操作呢

0×Ret · 发表于 2021-4-25 18:50

dll 有验证你hook 程序没用。（意思是你只打了程序的补丁，dll没用补丁）你把dll 拖OD 看一下有劫持到吗

1209325276 · 发表于 2021-4-25 19:19

亚浠发表于 2021-4-25 18:50
dll 有验证你hook 程序没用。（意思是你只打了程序的补丁，dll没用补丁）你把dll 拖OD 看一下有劫持到吗

主程序在桌面我也是劫持补丁然后他二次验证是在C盘释放，我把dll补丁放在c盘来劫持二次，od里面有加载我的补丁但是数据没改

E少 · 发表于 2021-4-26 02:12

它加载这个qd啥得是通过LoadLibrary 可以HOOK这个api取到之后再进行补丁

E少 · 发表于 2021-4-26 02:15

另外这是一个DLL 地址是动态得要自己算偏移进行补丁另外配套得EXE呢 .....

1209325276 · 发表于 2021-4-26 10:55

E少发表于 2021-4-26 02:15
另外这是一个DLL 地址是动态得要自己算偏移进行补丁另外配套得EXE呢 .....

他昨天更新了这是主程序https://wwa.lanzouw.com/ivbKEohki7g，现在变成每次二次验证的时候在c盘生成一个cnmx.QD然后自动删除补丁的话我是这样写的.版本 2

APIHOOK.安装 (“user32.dll”, “LoadLibrary ”, 到整数 (&补丁))
返回 (0)

.子程序补丁

APIHOOK.暂停 (“LoadLibrary ”)
汇编写入 (十六到十 (“), 字节集_还原 (“”))
但是生成出来的winspool是不被二次dll加载的

		自动登录	找回密码
密码			立即注册