本帖最后由 极限度—魔 于 2012-6-6 09:52 编辑
进进金牌网吧奖励 去广告&去自校验教程
首先用WSUnpacker查壳,查到的是 UPX(之前他加了双重壳,现在貌似没有了..)
用UPX脱壳机脱壳,脱壳完后,载入OD
然后 右击--中文搜索--智能搜索
Ctrl+G,输入,然后call里NOP
1804DFBF |. 68 04000080 push 0x80000004
1804DFC4 |. 6A 00 push 0x0
1804DFC6 |. 68 800C1018 push 进进金牌.18100C80 ; http://www.338mu.com
1804DFCB |. 68 01000500 push 0x50001
1804DFD0 |. 68 454D0116 push 0x16014D45
1804DFD5 |. 68 6F000152 push 0x5201006F
1804DFDA |. 68 05000000 push 0x5
1804DFDF |. B8 04000000 mov eax,0x4
1804DFE4 |. BB 80800A18 mov ebx,进进金牌.180A8080
1804DFE9 E8 7FA80000 call 进进金牌.1805886D ; 在这里用NOP填充(广告Call)
1804DFEE |. 83C4 40 add esp,0x40
1804DFF1 |. BB 09000000 mov ebx,0x9
1804DFF6 |. E8 3AFFFFFF call 进进金牌.1804DF35
1804DFFB |. 68 04000080 push 0x80000004
1804E000 |. 6A 00 push 0x0
1804E002 |. 68 950C1018 push 进进金牌.18100C95 ; http://www.338mu.com/cf/cfwg.htm
1804E007 |. 68 01000500 push 0x50001
1804E00C |. 68 464D0116 push 0x16014D46
1804E011 |. 68 6F000152 push 0x5201006F
1804E016 |. 68 05000000 push 0x5
1804E01B |. B8 04000000 mov eax,0x4
1804E020 |. BB 80800A18 mov ebx,进进金牌.180A8080
1804E025 E8 43A80000 call 进进金牌.1805886D ; 这里也是 用NOP填充(广告Call)
这样广告就去了
但是如果保存后,再打开软件,就会提示 软件被破坏
这个就是自校验了~我们现在就来去掉他
在 中文搜索引擎中 按 Ctrl+F--输入 外{过}{滤}挂程序被破坏.请到官方下载!,然后向上找,找到提示上面的第二个跳转(je).
1804E7A0 /0F84 0C000000 je 进进金牌.1804E7B2 ; 跳转不实现,则下面的JMP能跳过提示
1804E7A6 |. |C745 F8 01000>mov [local.2],0x1
1804E7AD |. |E9 47000000 jmp 进进金牌.1804E7F9
1804E7B2 |> \C745 F8 00000>mov [local.2],0x0
1804E7B9 |. 68 04000080 push 0x80000004
1804E7BE |. 6A 00 push 0x0
1804E7C0 |. 68 B60C1018 push 进进金牌.18100CB6 ; 提示
1804E7C5 |. 68 01030080 push 0x80000301
1804E7CA |. 6A 00 push 0x0
1804E7CC |. 68 10000000 push 0x10
1804E7D1 |. 68 04000080 push 0x80000004
1804E7D6 |. 6A 00 push 0x0
1804E7D8 |. 68 FE0C1018 push 进进金牌.18100CFE ; 外{过}{滤}挂程序被破坏.请到官方下载!
1804E7DD |. 68 03000000 push 0x3
1804E7E2 |. BB A0B00518 mov ebx,进进金牌.1805B0A0
1804E7E7 |. E8 6FA00000 call 进进金牌.1805885B ; 提示Call
在 1804E7A0 /0F84 0C000000 je 进进金牌.1804E7B2 改为 nop
完毕~
|