QQ炫舞阳光辅助+好逍遥辅助去广告教程
前几天迷上了去广告，找了几个小外挂玩了玩，下面是我的记录：
阳光辅助外挂主页：http://www.66nk.com/
查壳：ASPack 2.12 -> Alexey Solodovnikov
秒脱：Borland Delphi 6.0 - 7.0
去广告：查找热任意一个以LEdW开头的字符串跟随到反汇编窗口，把下面的call里面改为retn。
(粗看一下就会发现所有以LEdW开头的字符串下面的CALL都是一个，本程序是call 00462510)004D5A2D . B8 A85B4D00 mov eax, 004D5BA8 ; ASCII "LEdWwX4cDcYzRAyHcl1JnydcT54XS33lIUtWnzBLVg=="
004D5A32 . E8 D9CAF8FF call 00462510 ; //跟进改为RETN
改这里：
00462510 /$ 55 push ebp ; //retn
用PEExplorer打开去广告后的程序，在RCDate里面找到下面属性修改：
修改后启动按钮激活：
激活游戏进程：经过上面的修改可以顺利进入外挂主界面了，打开游戏后再打开外挂发现游戏检测不到游戏进程，用OD加载修改后的程序下Delphi按钮事件断点，点击外挂主界面的开始按钮后断在下面：00441C60 |. FF93 20010000 call dword ptr [ebx+120] ; Unpacked.004D2E14
00441C66 |> 5B pop ebx ; //停在上面，F7跟进
004D2EA2 |. B8 CC344D00 mov eax, 004D34CC ; ASCII "MVp93SVGTNIsbEbJalZa1A=="
004D2EA7 |. E8 64F6F8FF call 00462510
004D2EAC |. 8B45 F8 mov eax, dword ptr [ebp-8]
004D2EAF |. E8 40DCFEFF call 004C0AF4
004D2EB4 |. 84C0 test al, al
004D2EB6 |. 74 07 je short 004D2EBF ; //把这个跳转NOP掉程序就可以显示“已开始”了
004D2EB8 |. C605 14E94E00 01 mov byte ptr [4EE914], 1
004D2EBF |> 803D 14E94E00 01 cmp byte ptr [4EE914], 1
004D2EC6 |. 0F85 76050000 jnz 004D3442
扫尾：经过上面的修改后外挂已经可以正常使用（在操作流程正确的情况下，所有功能均已测试，为了测试这个外挂下载了2.78G的游戏-_-|||），但是点击退出按钮的时候还会打开外挂程序所在文件夹，用OD加载修改后的程序下bp ShellExecuteA断点拦截，下好断点，点击主界面的退出按钮后看堆栈提示：0012FD64 004C172A /CALL 到 ShellExecuteA 来自 Unpacked.004C1725 //反汇编窗口中跟随
0012FD68 000C02F6 |hWnd = 000C02F6 ('EeT-910',class='TForm1')
0012FD6C 00404481 |Operation = ""
0012FD70 00404481 |FileName = ""
0012FD74 00404481 |Parameters = ""
0012FD78 00000000 |DefDir = NULL
0012FD7C 00000001 \IsShown = 1
004C170A |. B8 C8174C00 mov eax, 004C17C8 ; ASCII "K0NH3w=="
004C170F |. E8 FC0DFAFF call 00462510
004C1714 |. 8B45 F4 mov eax, dword ptr [ebp-C]
004C1717 |. E8 602DF4FF call 0040447C
004C171C |. 50 push eax
004C171D |. 8BC3 mov eax, ebx
004C171F |. E8 D058F8FF call 00446FF4
004C1724 |. 50 push eax ; |hWnd
004C1725 |. E8 AABBF6FF call <jmp.&shell32.ShellExecuteA> ; \ShellExecuteA
004C172A |. A1 20E64E00 mov eax, dword ptr [4EE620] ; //跟随到这来，把上面的CALL给NOP掉就OK了
===========================================================
好逍遥辅助去广告记录：
好逍遥辅助主页：http://www.haoxiaoyao.com/Borland Delphi 6.0 - 7.0
00482F8B |. /0F85 C8000000 jnz 00483059 ; //jmp
00482F91 |. |8D55 E4 lea edx, dword ptr [ebp-1C]
00482F94 |. |A1 2C8E4800 mov eax, dword ptr [488E2C]
00482F99 |. |8B00 mov eax, dword ptr [eax]
00482F9B |. |E8 9460F8FF call 00409034
00482FA0 |. |8B55 E4 mov edx, dword ptr [ebp-1C]
00482FA3 |. |8D4D E8 lea ecx, dword ptr [ebp-18]
00482FA6 |. |B8 F8304800 mov eax, 004830F8 ; ASCII "E576F970ED8CDE008518063EBC3253DBDD25C8EB7465942BF721F97EDAF3F551F8B8AE6DDE46C658"
| 
[复制链接]
发表于 2012-1-10 09:47
发表于 2012-1-10 18:25
