软件绿化教程第二期 By.Jxdm 【2013.5.1日更新】

显示全部楼层 · 发表于 2013-4-5 12:33:20

本帖最后由极限度—魔于 2013-4-5 12:34 编辑

3GQQ永久在线-完美版脱壳去广告教程

PS:该软件最好放在沙盘上运行,我用这个软件这是教大家怎么去除广告和脱壳~
进入正题：

用PEID查看它加了PECompact v2.xx，下面脱这个壳

载入OD后,它会提示压缩代码分析，点击否

然后我们F8单步走

00401000 > B8 3CA75000 mov eax,3GQQ永久.0050A73C ; //在这里F8走
00401005 50 push eax
00401006 64:FF35 0000000>push dword ptr fs:[0]
0040100D 64:8925 0000000>mov dword ptr fs:[0],esp
00401014 33C0 xor eax,eax
00401016 8908 mov dword ptr ds:[eax],ecx ; //它在这里自动跳

复制代码

走到00401016后它自动跳转到

7C92E480 8B1C24 mov ebx,dword ptr ss:[esp] ; //继续F8
7C92E483 51 push ecx
7C92E484 53 push ebx
7C92E485 E8 9AC30100 call ntdll.7C94A824
7C92E48A 0AC0 or al,al
7C92E48C 74 0C je short ntdll.7C92E49A
7C92E48E 5B pop ebx
7C92E48F 59 pop ecx
7C92E490 6A 00 push 0x0
7C92E492 51 push ecx
7C92E493 E8 C6EBFFFF call ntdll.ZwContinue ; //在此F7

复制代码

在 “7C92E493”按F7!,进入到这里

7C92D05E > B8 20000000 mov eax,0x20 ; //继续F8
7C92D063 BA 0003FE7F mov edx,0x7FFE0300
7C92D068 FF12 call dword ptr ds:[edx] ; //在此F7

复制代码

在“7C92D068”F7!,然后来到这里

7C92E510 > 8BD4 mov edx,esp ; //继续F8
7C92E512 0F34 sysenter ; //自动跳

复制代码

跳到这里

0050A75F B8 C19450F0 mov eax,0xF05094C1
0050A764 64:8F05 0000000>pop dword ptr fs:[0] ; 0012FFE0
0050A76B 83C4 04 add esp,0x4
0050A76E 55 push ebp
0050A76F 53 push ebx
0050A770 51 push ecx
0050A771 57 push edi
0050A772 56 push esi
0050A773 52 push edx
0050A774 8D98 57120010 lea ebx,dword ptr ds:[eax+0x10001257]
0050A77A 8B53 18 mov edx,dword ptr ds:[ebx+0x18]
0050A77D 52 push edx
0050A77E 8BE8 mov ebp,eax
0050A780 6A 40 push 0x40
0050A782 68 00100000 push 0x1000
0050A787 FF73 04 push dword ptr ds:[ebx+0x4]
0050A78A 6A 00 push 0x0
0050A78C 8B4B 10 mov ecx,dword ptr ds:[ebx+0x10]
0050A78F 03CA add ecx,edx
0050A791 8B01 mov eax,dword ptr ds:[ecx]
0050A793 FFD0 call eax
0050A795 5A pop edx
0050A796 8BF8 mov edi,eax
0050A798 50 push eax
0050A799 52 push edx
0050A79A 8B33 mov esi,dword ptr ds:[ebx]
0050A79C 8B43 20 mov eax,dword ptr ds:[ebx+0x20]
0050A79F 03C2 add eax,edx
0050A7A1 8B08 mov ecx,dword ptr ds:[eax]
0050A7A3 894B 20 mov dword ptr ds:[ebx+0x20],ecx
0050A7A6 8B43 1C mov eax,dword ptr ds:[ebx+0x1C]
0050A7A9 03C2 add eax,edx
0050A7AB 8B08 mov ecx,dword ptr ds:[eax]
0050A7AD 894B 1C mov dword ptr ds:[ebx+0x1C],ecx
0050A7B0 03F2 add esi,edx
0050A7B2 8B4B 0C mov ecx,dword ptr ds:[ebx+0xC]
0050A7B5 03CA add ecx,edx
0050A7B7 8D43 1C lea eax,dword ptr ds:[ebx+0x1C]
0050A7BA 50 push eax
0050A7BB 57 push edi
0050A7BC 56 push esi
0050A7BD FFD1 call ecx
0050A7BF 5A pop edx
0050A7C0 58 pop eax
0050A7C1 0343 08 add eax,dword ptr ds:[ebx+0x8]
0050A7C4 8BF8 mov edi,eax
0050A7C6 52 push edx
0050A7C7 8BF0 mov esi,eax
0050A7C9 8B46 FC mov eax,dword ptr ds:[esi-0x4]
0050A7CC 83C0 04 add eax,0x4
0050A7CF 2BF0 sub esi,eax
0050A7D1 8956 08 mov dword ptr ds:[esi+0x8],edx
0050A7D4 8B4B 0C mov ecx,dword ptr ds:[ebx+0xC]
0050A7D7 894E 14 mov dword ptr ds:[esi+0x14],ecx
0050A7DA FFD7 call edi
0050A7DC 8985 3F130010 mov dword ptr ss:[ebp+0x1000133F],eax ; //走到这里F2断点,然后Ctrl+F2,再F9运行到这里,再F8

复制代码

走到“0050A7DC”,F2断点,然后Ctrl+F2重启程序,然后再F9运行到断点处

重启程序后F9跑到断点处后,继续F8

0050A7E2 8BF0 mov esi,eax
0050A7E4 8B4B 14 mov ecx,dword ptr ds:[ebx+0x14]
0050A7E7 5A pop edx
0050A7E8 EB 0C jmp short 3GQQ永久.0050A7F6
0050A7EA 03CA add ecx,edx
0050A7EC 68 00800000 push 0x8000
0050A7F1 6A 00 push 0x0
0050A7F3 57 push edi
0050A7F4 FF11 call dword ptr ds:[ecx]
0050A7F6 8BC6 mov eax,esi
0050A7F8 5A pop edx
0050A7F9 5E pop esi
0050A7FA 5F pop edi
0050A7FB 59 pop ecx
0050A7FC 5B pop ebx
0050A7FD 5D pop ebp
0050A7FE FFE0 jmp eax ; //一个大的跳转,就到达OEP. 这里按F8

复制代码

0050A7FE一个打跳转,跳转完后就到达了OEP,用OD自带的OllyDump脱壳既可以了

最后保存即可~

去除弹窗广告：

载入脱壳后的程序，然后搜索ASCII,然后搜索“作者提示”,然后在段首 push ebp修改为retn即可

004010A3 55 push ebp ; //在此双击修改为JMP
004010A4 8BEC mov ebp,esp
004010A6 81EC 04000000 sub esp,0x4
004010AC 68 01000100 push 0x10001
004010B1 68 00000106 push 0x6010000
004010B6 68 01000152 push 0x52010001
004010BB 68 01000000 push 0x1
004010C0 BB C0124000 mov ebx,1.004012C0
004010C5 E8 E5010000 call 1.004012AF
004010CA 83C4 10 add esp,0x10
004010CD 8945 FC mov dword ptr ss:[ebp-0x4],eax
004010D0 6A 01 push 0x1
004010D2 68 14000000 push 0x14
004010D7 FF75 FC push dword ptr ss:[ebp-0x4]
004010DA E8 5D000000 call 1.0040113C
004010DF 68 04000080 push 0x80000004
004010E4 6A 00 push 0x0
004010E6 68 911D4700 push 1.00471D91 ; 作者提示

复制代码

最后还是保存~

显示全部楼层 · 发表于 2013-4-9 15:48:15

本帖最后由 jc天马行空于 2013-4-9 15:53 编辑

楼主能否帮我绿化一下玄神金牌网代{过}{滤}理，感激不尽

http://www.crsky.com/soft/29825.html

显示全部楼层 · 发表于 2013-4-11 21:13:41

jc天马行空发表于 2013-4-9 15:48
楼主能否帮我绿化一下玄神金牌网代{过}{滤}理，感激不尽

很抱歉,这个壳我不会脱,可能绿化不了

显示全部楼层 · 发表于 2013-4-12 22:07:08

极限度—魔发表于 2013-4-11 21:13
很抱歉,这个壳我不会脱,可能绿化不了

哦,没事！还是谢谢了

显示全部楼层 · 发表于 2013-5-1 09:24:44

本帖最后由极限度—魔于 2013-5-1 10:49 编辑

我爱记牌器绿化教程(完美版&简单版)

此教程有两种去广告方法,方法一是最简单的,但是绿化后会屏蔽通牌的高级功能,方法二保留了高级功能下面开始教程

去除“不能单独启动”提示

弹窗的广告的主程序是“我爱记牌器.exe”,所以我们删掉它,用“mainapp.exe”打开,但是会提示“不能单独启动”,我们用OD载入

右击搜索字符串--搜索--输入"不能单独启动"---双击跟随--然后向上找到“应用程序向导生成的本地应用程序”

然后F2断点,接着F9运行,F8单步跟

00444BAD . 68 40C14900 push mainapp.0049C140 ; 应用程序向导生成的本地应用程序
00444BB2 . 8BCB mov ecx,ebx
00444BB4 . E8 CEB10400 call mainapp.0048FD87
00444BB9 . 68 34C14900 push mainapp.0049C134 ; jpq20123210
00444BBE . 8D4C24 20 lea ecx,dword ptr ss:[esp+0x20]
00444BC2 . E8 4900FCFF call mainapp.00404C10
00444BC7 . 89AC24 7C2300>mov dword ptr ss:[esp+0x237C],ebp
00444BCE . FF15 C8724900 call dword ptr ds:[<&KERNEL32.GetCommand>; [GetCommandLineA
00444BD4 . 3BC5 cmp eax,ebp
00444BD6 . 75 04 jnz short mainapp.00444BDC ; //跳转实现,继续F8
00444BD8 . 33C9 xor ecx,ecx
00444BDA . EB 0E jmp short mainapp.00444BEA
00444BDC > 8BC8 mov ecx,eax
00444BDE . 8D71 01 lea esi,dword ptr ds:[ecx+0x1]
00444BE1 > 8A11 mov dl,byte ptr ds:[ecx]
00444BE3 . 41 inc ecx
00444BE4 . 84D2 test dl,dl
00444BE6 .^ 75 F9 jnz short mainapp.00444BE1 ; //跳转实现,往上跳.在下面00444BE8按F4

复制代码

在004444BE8按F4后继续F8

00444BE8 . 2BCE sub ecx,esi ; 继续F8
00444BEA > 51 push ecx
00444BEB . 50 push eax
00444BEC . B9 703F4C00 mov ecx,mainapp.004C3F70
00444BF1 . E8 CAFEFBFF call mainapp.00404AC0
00444BF6 . 8B4424 1C mov eax,dword ptr ss:[esp+0x1C]
00444BFA . 3BC5 cmp eax,ebp
00444BFC . 0F84 EA060000 je mainapp.004452EC
00444C02 . 8B0D 703F4C00 mov ecx,dword ptr ds:[0x4C3F70]
00444C08 . 3969 F4 cmp dword ptr ds:[ecx-0xC],ebp
00444C0B . 0F8C DB060000 jl mainapp.004452EC
00444C11 . 50 push eax
00444C12 . 51 push ecx
00444C13 . E8 45AE0200 call mainapp.0046FA5D
00444C18 . 83C4 08 add esp,0x8
00444C1B . 3BC5 cmp eax,ebp
00444C1D . 0F84 C9060000 je mainapp.004452EC ; 此为关键跳,在这里NOP

复制代码

这样就能单独启动了

去除主界面广告，此为方法一：

用Winhex打开已去除不能单独启动的提示的“mainapp.exe”,然后点击同步搜索--输入“http://cc.963ba.com/fileset/qq/info52.dll”--确定,然后按组合键 Ctrl+L--然后确定

保存

最后我们用Winhex载入“VerInfo.dll”，输入“http://cc.963ba.com” ,然后按组合键 Ctrl+L--确定

保存

==========================================================
原版：

我们看效果：

方法二（此方法保留通牌的VIP功能）

载入已去除“不能单独启动”的提示--右击搜索字符串--输入“urljin”--双击跟随

然后在它的上面（00450CA7）双击左键,把 push eax 修改为 jmp 00450EEF

最后保存,效果：

视频下载

显示全部楼层 · 发表于 2013-5-8 17:19:28

谢谢楼主分享

显示全部楼层 · 发表于 2013-5-8 18:15:29

酷狗最新版本右上角的广告窗口，希望LZ能出个去除教程。
@极限度—魔

显示全部楼层 · 发表于 2013-5-19 10:41:32

支持不错哦

显示全部楼层 · 发表于 2013-5-19 10:42:15

支持不错哦

显示全部楼层 · 发表于 2013-5-19 10:42:55

支持，为什么发表不了回复

[评测] 软件绿化教程第二期 By.Jxdm 【2013.5.1日更新】

评分