请问如何向进程的ws2_32 模块导出的 connect 函数写入 B8 FF FF FF FF C2 0C 00

tank8888jx

请问如何向进程的ws2_32 模块导出的 connect 函数写入 B8 FF FF FF FF C2 0C 00
因为机房的管理软件CCMClientNT.exe进程,PPS都不能看,请高手帮忙

bugman

利用dll劫持吧。用AheadLib构造一个劫持ws2_32的文件，然后开始写代码，举例如下：
比如你想操作connect这个函数，你可以这样进行：
ALCDECL MemCode_connect(void)
{
            hijack() ;  //进行劫持，在这个函数里，你想怎么操作就怎么操作，代码自由发挥
           GetAddress("connect");  //获取原函数地址
               __asm JMP EAX;  //跳去执行原函数
}

//劫持函数
void hijack()
{
        if (isTarget(GetCurrentProcess()))   //判断是否是所要劫持的程序
        {
                PatchProcess(GetCurrentProcess());  //是的话，就开始pacth代码吧
        }
}

// 判断是否是目标程序   
BOOL isTarget(HANDLE hProcess)
{
        DWORD Targetcode = NULL;
        if (ReadProcessMemory(hProcess, (LPVOID)0x401000, &Targetcode, 4, NULL))
        {               
                if (Targetcode == 0x00008b55)//从目标程序随机取个点，比如00401000这个点的代码为558b                       
                                                   return TRUE;
                else
                        return FALSE;
        }
        return FALSE;
}

void PatchProcess(HANDLE hProcess)
{
  //patch代码就你自由发挥吧，比如你要写入XX数据
}

IllusionWing

我认为凭LZ的能力无法写出PatchProcess这个过程

bugman

原帖由 IllusionWing 于 2009-11-18 22:16 发表
我认为凭LZ的能力无法写出PatchProcess这个过程

呵呵，那就不是我的事了，既然他提问了，我就提出个思路以及解决方案罢了。
至于能否实现，那只有靠楼主自己了，哈。

穿越星空

　　既然楼主是不懂编程的同道中人，那我们就用非编程的方式来解决吧。事先声明，出了问题我可不担保啊，全都是按照楼主的要求做的。
　　思路：用反汇编工具打开ws2_32.dll，查找导出表定位到connect，16进制编辑。
　　W32Dasm：反汇编→打开文件→ws2_32.dll，函数→导出→connect→双击定位，右击选择“Hexedit”就可以了。注：我这儿8.93版无法编辑，只有10.0的才可以。
　　C32ASM：文件→打开文件进行反汇编→ws2_32.dll，查看→输出表，在左侧找到connect并双击定位，右击选择“对应HEX编辑”就可以了。