一次简单的逆向外挂弹窗分析

夜陌 · 发表于 2020-7-30 13:41

今天记录一次混水逆向游戏cf外挂软件过程，夏日炎炎，日常敲码。。。。

最近忙于建自己站，需要往自己博客添加一些软件，我就盯向了游戏外挂这个流量群体，像我们这种肯定没时间去写，

那只能去破解啊，我随便搜索几个辅助网的下载了一个xxx断网瞬移不多说开始我的分析过程！

先查壳嗯很干净。。。

QQ图片20200730131747.png

然后 F9运行程序出现这个
QQ图片20200730130741.png

打开一个弹窗出现在我的眼前，emm 很多辅助都有这种手法带一个远程更新，然后我就看了看中文搜索引擎字串
QQ图片20200730131120.png

很干净，就头部这里看到一个TSTheme.exe 以及\dll exe是检测进程名然而dll是释放dll 心里明白了默默打开Exeinfope 提取dll
QQ图片20200730131452.png

然后，我们就可以看到改dll 是加了vmp2.07 我说呢原来就是一个启动程序

在把dll 丢进od
QQ图片20200730132044.png

开始以为看到这些字串可以确定就是这里了，但是我仔细在看看发现不对劲

看到这里竟然还在释放dll，对于我这个混过辅助圈的，可以确定这个才是功能dll 这作者真是有点废心机哈
QQ图片20200730132253.png

嗯分析已经完了，那就开始步骤吧，对我个人而言我只需要把弹窗去掉就可以了

QQ图片20200730132726.png

然后在弹窗错误这快找到头部进去retn 用pyg的补丁工具打一个dll 就可以了这里不多操作思路放这里了！

还有一种办法就是提取功能dll，自己写注入至于提取方法就是进群下载新版本，如果没有游戏自己易语言写一个以 crossfire.exe 命名的程序等他会释放出dll 自己额外复制一份出来永久可用

自己在网上随便下载一个万能注入功ju 就可以用了，大概思路是这样具体靠各位实践哦！

通用DLL注入器 V1.0.zip (574.74 KB, 下载次数: 111)

学无止境it · 发表于 2020-9-22 07:48

大佬你那个seo的提问不了了，那个产品展示的时候图片上的超链接和文字上的超链接一样的时候给图片上的超链接加 nofollow对吧文字上的超链接不加

倚楼听风雨c · 发表于 2020-7-30 13:59

光提取dll估计没用，要是dll还有二次校验就炸啦

qzhsjz · 发表于 2020-7-30 14:02

他们搞这种辅助一看就不专业，最起码得上个反射注入，最好再抹了PE头，还得在功能DLL里加上防dump，才能保证安全。

夜陌 · 发表于 2020-7-30 14:05

qzhsjz 发表于 2020-7-30 14:02
他们搞这种辅助一看就不专业，最起码得上个反射注入，最好再抹了PE头，还得在功能DLL里加上防dump，才能保 ...

主要一帮小孩子哪里懂这么多哦

ali888889 · 发表于 2020-7-30 14:05

膜拜大神，，，这些工具哪里有的下载呢？

52pojie666z · 发表于 2020-7-30 14:24

提示: 作者被禁止或删除内容自动屏蔽

国际豆哥 · 发表于 2020-7-30 14:30

加油！很厉害

绫音 · 发表于 2020-7-30 14:31

学习一下谢谢分享

吾爱、技术组 · 发表于 2020-7-30 14:53

学习学习谢大佬分享

elevo · 发表于 2020-7-30 15:00

菜鸟表示看不懂啊，太复杂了

帐号		自动登录	找回密码
密码			注册[Register]

[原创] 一次简单的逆向外挂弹窗分析

免费评分

免费评分

52pojie666z 52pojie666z 当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	52pojie666z 发表于 2020-7-30 14:24 提示: 作者被禁止或删除内容自动屏蔽

	回复支持举报