WinHex关于窗口移除

zishen · 发表于 2024-9-28 15:28

本帖最后由 zishen 于 2024-9-28 17:50 编辑

每次打开winhex，都会弹出这个窗口，非常烦人，于是想尝试一下能不能移除掉

经过分析发现

push dword ptr ss:[ebp+0x54]后会调用Kernel32 ResumeThread

最后一个jmp far直接就运行起来了，没有明白这个关于窗口应该怎么截取掉？请大佬们指点一下

根据大佬指点我自己又尝试了一下，应该算是成功了，但是我还是有几点疑问，在这里跟大家分享一下

我发现winhex运行的时候有四个进程，但是应该只有64位的那个进程在工作，然后我用x64OD附加一下，找出了关键点，其中那个winhex64.4A53C0就是创建关于窗口的函数（应该）
将jne修改成je即可。
但是打补丁后单独保存出来是无法运行的

winhex可能运行的时候，直接将32位和64位放到了这个目录，我破解的那个应该可能类似于安装包那种，但是可以直接打开软件

winhex在Temp中一堆，不会是每次运行都生成一个吧？

苏紫方璇 · 发表于 2024-9-28 16:29

那个jmp far是wow64跳到64位代码中，od只能调试32位程序，跳到64之后就调试不了了，所以就运行起来了。另外你这里是系统函数恢复线程的，和你移除窗口关系不大

注册个id · 发表于 2024-9-28 18:51

就一个进程, 而且不会有弹窗, 你是不是下载的是单文件版, 每次都是FirstRun状态, 本站的版本就没你说这个情况
https://down.52pojie.cn/Tools/Editors/

冥界3大法王 · 发表于 2024-9-28 16:04

在编辑器里定位英文的About(主程序，非语言文件)
取foa地址
返回调试器下硬访断
再回溯下就是改的地方了

zishen · 发表于 2024-9-28 17:21

苏紫方璇发表于 2024-9-28 16:29
那个jmp far是wow64跳到64位代码中，od只能调试32位程序，跳到64之后就调试不了了，所以就运行起来了。另外 ...

跟踪到64位后，发现是通过这个syscall系统调用来运行的

还是不明白应该怎么截取哪个关于窗口

zishen · 发表于 2024-9-28 17:25

冥界3大法王发表于 2024-9-28 16:04
在编辑器里定位英文的About(主程序，非语言文件)
取foa地址
返回调试器下硬访断

佬我没听懂

5911521 · 发表于 2024-9-28 19:13

就像6楼讲的，应该是单文件版本了，提取下，解除FirstRun状态就好了！发现自己还在用14.1

。

wychok · 发表于 2024-9-28 19:31

关闭“关于”界面窗口后，目录中会新生成 WinHex.cfg 文件，将此文件放进你的单文件中，下次就不会再出现这个“关于”界面了。

move · 发表于 2024-9-28 19:55

如6楼所讲，打包单文件前运行一次，再启动就不会弹了。

zishen · 发表于 2024-9-28 20:45

wychok 发表于 2024-9-28 19:31
关闭“关于”界面窗口后，目录中会新生成 WinHex.cfg 文件，将此文件放进你的单文件中，下次就不会再出现这 ...

啊？可是我的没有生成啊

帐号		自动登录	找回密码
密码			注册[Register]

[求助] WinHex关于窗口移除