这个可可9.5图文教程的疑惑

192939 · 发表于 2021-9-29 18:47

图文地址 https://www.52hb.com/thread-52442-1-1.html

我也不清楚可可9点几，就当9.5吧

图文指出可可验证在bin.dat中，

通过字符串那个ks_advapi回溯，其实我不清楚他具体这么做的原因，

然后就说回溯到按钮事件，也不清楚他是怎么肯定这个就是按钮事件，然后也没看出具体作用，

然后说是无壳程序，就不进行分析了，无脑单步跟踪既可，

有谁成功没？

我自己来到bin.dat后，直接通过文本比较下断，改返回值后，软件就直接假死没反应了

还有个问题，这个bin.dat的解码段很大，比如该图文中的按钮事件地址 1003AD01 E8 C5CCFCFF call bin.100079CB

怎么HOOK住bin.dat 似乎也没法打补丁啊

风晨 · 发表于 2021-9-29 18:47

最佳答案本应属于楼主私有，因此限制查看

您还有0次查看次数，点此查看答案

点此购买查看次数
也可以兑换VIP特权或加入解密专家，每日可免费查看5次最佳答案！

风晨 · 发表于 2021-9-29 21:01

首先你没必要死关注什么文本比较在ks_advapi下断后 ebp+4保存了上一层调用返回地址跟踪过去上一个指令CALL下断然后重复的操作 ebp+4保存的上一层返回地址一直找上去就可以定位到按钮事件的地址然后bin.dat我这边的基址是001000000 所以偏移是3AD01 在你那边复制这个bin.dat的基址然后加上偏移就是按钮事件的地址补丁很好打的先获取到模块基址然后加上偏移就是加载的地址

weiran324 · 发表于 2021-10-1 11:16

风晨发表于 2021-9-29 21:08
回束一次就登录一次直到最后一次下断点的时候没有断下就说明前一个CALL下断的那个地址就是按钮事件CALL ...

厉害，受益匪浅。

Just_Like_Fire · 发表于 2021-10-1 20:09

楼主你搞定没有.找到它的退出了吗,

192939 · 发表于 2021-10-1 20:22

Just_Like_Fire 发表于 2021-10-1 20:09
楼主你搞定没有.找到它的退出了吗,

没在研究，你若进到功能窗口说下方法，

Just_Like_Fire · 发表于 2021-10-1 21:22

192939 发表于 2021-10-1 20:22
没在研究，你若进到功能窗口说下方法，

没我找不到它的退出.PJ了就退出.

Just_Like_Fire · 发表于 2021-10-1 21:40

192939 发表于 2021-10-1 20:22
没在研究，你若进到功能窗口说下方法，

你有空的话,找下退出呢？

		自动登录	找回密码
密码			立即注册