哥又回来了 发表于 2020-3-2 19:32:46

制作好的大白内存注册机，1号呼叫2号，2号成功，生成的DLL不成功

制作好的大白内存注册机，1号呼叫2号，2号成功，生成的DLL不成功
说吧，还是细说吧!

这是一个crackme


内存：004011BE    基址:400000
内存注册机:添加寄存器指向内存

内存指向，unicode,edx
每次：int3

然后生成的

KEY 和谐补丁调试版.exe(1号）
弹完，出2号的 注册码显示


KEY 注入补丁调试版.exe(2号）

2号直接 这样

但是问题来了，2个生成的DLL 都没有效果呢，这是为什么呢？

哥又回来了 发表于 2020-3-2 20:10:04

本帖最后由 哥又回来了 于 2020-3-2 20:17 编辑


测试文件。
2020-03-02 20:15:53:507: : PYG.DLL ver: 3.0.1.1025 模块加载
2020-03-02 20:15:53:507: : Process Attach：样本2\KEY.EXE
2020-03-02 20:15:53:531: : Not Find Baymax IniFile
2020-03-02 20:15:53:532: : Proc KEY.EXE Module KEY.EXE Name KEY.EXE
2020-03-02 20:15:53:533: : Proc KEY.EXE Module KEY.EXE Name KEY.EXE
2020-03-02 20:15:53:533: : 设置断点补丁条目
2020-03-02 20:15:53:533: : 非 NS_TYPE_SETRVABREAK 类型 0
2020-03-02 20:15:53:533: : 断点补丁地址 004011BE 补丁数据 KG::M,U,EDX,0
2020-03-02 20:15:53:533: : 设置断点
2020-03-02 20:15:53:533: : 解析异常断点数据成功 ThreadId: 7384
2020-03-02 20:15:53:533: : 设置INT3断点
2020-03-02 20:15:53:533: : 设置 0xCC 004011BE
2020-03-02 20:15:53:534: : 设置INT3断点成功 004011BE
2020-03-02 20:15:53:534: : 断点补丁地址 004011C9 补丁数据 KG::S,SN：\r\n
2020-03-02 20:15:53:534: : 设置断点
2020-03-02 20:15:53:534: : 解析异常断点数据成功 ThreadId: 7384
2020-03-02 20:15:53:534: : 设置INT3断点
2020-03-02 20:15:53:534: : 设置 0xCC 004011C9
2020-03-02 20:15:53:534: : 设置INT3断点成功 004011C9
2020-03-02 20:15:53:534: : 初始化完成 ...
2020-03-02 20:15:53:534: : End StartHook()
2020-03-02 20:15:53:534: : 补丁设置初始化完成，若有HOOK或下断点操作，将会在下方进行打印输出。
2020-03-02 20:15:56:018: : Find BreakPointInt3 ThreadId: 7384 1 0 0
2020-03-02 20:15:56:018: : PREV Mode 当前断点 004011BE Byte 68
2020-03-02 20:15:56:018: : PREV 68
2020-03-02 20:15:56:019: : 当前INT3断点 符合触发条件进行处理 004011BE
2020-03-02 20:15:56:019: : NsFixThreadContext Type 4
2020-03-02 20:15:56:019: : INT3断点永久模式 设置NextIp 计数减一： 0
2020-03-02 20:15:56:019: : INT3断点 获取NEXT IP： 004011C3
2020-03-02 20:15:56:019: : Error Type
2020-03-02 20:15:56:019: : NEXT_IP 004011C3 BYTE 8D
2020-03-02 20:15:56:019: : DealInt3Exception 004011BE
2020-03-02 20:15:56:019: : ThreadId: 7384 DR0 00000000 DR1 00000000 DR2 00000000 DR3 00000000 DR7 00000000
2020-03-02 20:15:56:019: : Find BreakPointInt3 ThreadId: 7384 0 1 0
2020-03-02 20:15:56:019: : NEXT_IP Mode Break: 004011C3 恢复断点为 004011BE
2020-03-02 20:15:56:019: : NEXT 8D PREV CC
2020-03-02 20:15:56:019: : Error Type
2020-03-02 20:15:56:019: : DealInt3Exception 004011C3
2020-03-02 20:15:56:019: : ThreadId: 7384 DR0 00000000 DR1 00000000 DR2 00000000 DR3 00000000 DR7 00000000
2020-03-02 20:15:56:020: : Find BreakPointInt3 ThreadId: 7384 1 0 0
2020-03-02 20:15:56:020: : Error Type
2020-03-02 20:15:56:020: : PREV Mode 当前断点 004011C9 Byte 50
2020-03-02 20:15:56:020: : PREV 50
2020-03-02 20:15:56:020: : 当前INT3断点 符合触发条件进行处理 004011C9
2020-03-02 20:15:56:020: : NsFixThreadContext Type 4
2020-03-02 20:15:56:020: : INT3断点永久模式 设置NextIp 计数减一： 0
2020-03-02 20:15:56:020: : INT3断点 获取NEXT IP： 004011CA
2020-03-02 20:15:56:020: : NEXT_IP 004011CA BYTE 6A
2020-03-02 20:15:56:020: : DealInt3Exception 004011C9
2020-03-02 20:15:56:020: : ThreadId: 7384 DR0 00000000 DR1 00000000 DR2 00000000 DR3 00000000 DR7 00000000
2020-03-02 20:15:56:020: : Find BreakPointInt3 ThreadId: 7384 0 1 0
2020-03-02 20:15:56:020: : Error Type
2020-03-02 20:15:56:020: : NEXT_IP Mode Break: 004011CA 恢复断点为 004011C9
2020-03-02 20:15:56:020: : NEXT 6A PREV CC
2020-03-02 20:15:56:020: : DealInt3Exception 004011CA
2020-03-02 20:15:56:020: : ThreadId: 7384 DR0 00000000 DR1 00000000 DR2 00000000 DR3 00000000 DR7 00000000

Nisy 发表于 2020-3-4 09:58:43

核心补丁是依靠系统的默认加载机制，如果所有DLL都不加载，那可以自行分析并制作劫持DLL以加载补丁模块PYG.DLL。

注入补丁是强行把 PYG.DLL 注入到进程。

xjh88232259 发表于 2020-3-4 10:41:48

感谢分享，虽然看不懂谢谢分享，学习一下。

zrfv 发表于 2020-3-9 07:15:26

谢谢分享，学习了

ZHANGXIANGHUA 发表于 2024-9-23 22:25:02

感谢分享，虽然看不懂谢谢分享
页: [1]
查看完整版本: 制作好的大白内存注册机，1号呼叫2号，2号成功，生成的DLL不成功