首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. CTF对抗
    3. 发新帖
[求助]小弟自己用E语言写了个去除NAG的程序,可是去不掉了.请各位高手帮助.谢谢!
发表于: 2008-2-18 22:31 5094

[求助]小弟自己用E语言写了个去除NAG的程序,可是去不掉了.请各位高手帮助.谢谢!

glassfox 活跃值
2008-2-18 22:31
5094
用OD载入后
00401000 >  E8 06000000     call killnag.0040100B                    ; (初始化 cpu 选择状态)
00401005    50              push eax
00401006    E8 BB010000     call <jmp.&KERNEL32.ExitProcess>


直接单步进call 到达下面. 可是这个是USER32的领空.请教高手应该怎么做啊?

77E4D8DE >  8BFF            mov edi,edi
77E4D8E0    55              push ebp
77E4D8E1    8BEC            mov ebp,esp
77E4D8E3    833D 1821E777 0>cmp dword ptr ds:[77E72118],0
77E4D8EA    74 24           je short USER32.77E4D910
77E4D8EC    64:A1 18000000  mov eax,dword ptr fs:[18]
77E4D8F2    6A 00           push 0
77E4D8F4    FF70 24         push dword ptr ds:[eax+24]
77E4D8F7    68 442FE777     push USER32.77E72F44
77E4D8FC    FF15 D012E177   call dword ptr ds:[<&KERNEL32.Interlocke>; kernel32.InterlockedCompareExchange
77E4D902    85C0            test eax,eax
77E4D904    75 0A           jnz short USER32.77E4D910
77E4D906    C705 402FE777 0>mov dword ptr ds:[77E72F40],1
77E4D910    6A 00           push 0
77E4D912    FF75 14         push dword ptr ss:[ebp+14]
77E4D915    FF75 10         push dword ptr ss:[ebp+10]
77E4D918    FF75 0C         push dword ptr ss:[ebp+C]
77E4D91B    FF75 08         push dword ptr ss:[ebp+8]
77E4D91E    E8 4D040000     call USER32.MessageBoxExA  到这里就跳出来窗口了.上面也没有可以跳过这里的地方 又不能nop掉这里... 进行不下去了.


弄了好久也没个思路.实在是搞不定了.希望高人能帮助一下给点思路.谢谢!
源代码也很简单
.版本 2

.程序集 窗口程序集1

.子程序 __启动窗口_创建完毕

信息框 (“kill this nag”, 0, “nag”)


.子程序 __启动窗口_首次激活

标签1.标题 ＝ “请破解”


.子程序 _退出_被单击

销毁 ()

附件在这里.

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

上传的附件：
收藏
免费 ・0
支持
分享
最新回复 (4)
petnt
雪    币： 485
活跃值： (12)
能力值： ( LV9，RANK：490 )
在线值：
发帖
回帖
粉丝
私信
2 楼
00403453    E8 7F000000     call    004034D7  -->

00403453    90 90909090     nop nop nop nop nop
2008-2-18 23:11
0
glassfox
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
给点思路好么?  petnt 大侠.
我无论是用 bp CreateWindowExA 还是 MessageBoxA 都拦截不下来
除了单步跟踪有更好的办法么?
2008-2-18 23:41
0
petnt
雪    币： 485
活跃值： (12)
能力值： ( LV9，RANK：490 )
在线值：
发帖
回帖
粉丝
私信
4 楼
00403425    68 04000080     push    80000004
0040342A    6A 00           push    0
0040342C    68 D2304000     push    004030D2                         ; nag
00403431    68 01030080     push    80000301
00403436    6A 00           push    0
00403438    68 00000000     push    0
0040343D    68 04000080     push    80000004
00403442    6A 00           push    0
00403444    68 D6304000     push    004030D6                         ; kill this nag
00403449    68 03000000     push    3
0040344E    BB 00030000     mov     ebx, 300
00403453    E8 7F000000     call    004034D7
上面是E语言的MessageBox的表现形式，你可以用字符串查找工具找到"kill this nag"

E语言的东西有一定的格式可循，如：
00403489    FC              cld
0040348A    DBE3            finit
0040348C    E8 F6FFFFFF     call    00403487
00403491    68 88344000     push    00403488
00403496    B8 03000000     mov     eax, 3
0040349B    E8 31000000     call    004034D1
004034A0    83C4 04         add     esp, 4
004034A3    68 01000152     push    52010001
004034A8    E8 1E000000     call    004034CB                         ; (initial cpu selection)
004034AD    83C4 04         add     esp, 4
004034B0    6A 00           push    0
004034B2    E8 0E000000     call    004034C5
004034B7    E8 03000000     call    004034BF
004034BC    83C4 04         add     esp, 4
004034BF  - FF25 8E334000   jmp     dword ptr [40338E]               ; krnln.10029892
004034C5  - FF25 92334000   jmp     dword ptr [403392]               ; krnln.100297FD
004034CB  - FF25 96334000   jmp     dword ptr [403396]               ; krnln.10029827
004034D1  - FF25 9A334000   jmp     dword ptr [40339A]               ; krnln.10028F95
004034D7  - FF25 76334000   jmp     dword ptr [403376]               ; krnln.10029011
004034DD  - FF25 7E334000   jmp     dword ptr [40337E]               ; krnln.100297D6
上面这个样子的好像就是他的消息处理，而在上面这段代码的上面就是用户代码。
个人经验，仅供参考。
2008-2-19 00:00
0
glassfox
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
多些 petnt 大侠的指教! 感谢!
2008-2-19 00:05
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回