一步一步教你加密解密技术——注册机和补丁制作(3)

2、内存补丁制作

2.1 R!SC'sPatcher 工具使用               

简介

  　RPP.EXE  是内存动态补丁制作软件。它通过脚本命令创建 win32 文件，以此文件装载程序，装载过程中等待软件解压或解除其自身保护后，然后按脚本要求修补内存中的指令，以使软件能够按我们要求运行。

如 ACDSEE3.0 是用 ASPACK 压缩软件，你 crack 时发现在内存地址 433FEA 处把 6A00 改成 EB17 就可成功，但你不可能直接修改压缩过的 ACDSEE.EXE 文件；这里就可用  RPP.EXE  按我们要求生成一 LOAD.EXE 文件，首先运行 LOAD.EXE ，它自动装载 ACDSEE.EXE, 等其自解压完成后，然后修改内存 433FEA 地址为 EB17, 这样 ACDSEE.EXE 就可按我们要求运行了，不过我不赞成用此法对付 ACDSEE.EXE ，因为 ACDSEE.EXE 运行有两种界面，其中 VIEW 界面用此法不太灵。

RPP.EXE  还可很方便对付 NAG （一些提示、警告窗口的软件），如用  NEOLITE 2.0 Y 压缩过的软件运行之前弹出来的那种窗口，当然也有专门除掉 NAG 的工具。

用法

在资源管理器中双击 rpp.exe 文件，它弹出一菜单，你选择事先编好的脚本文件，然后按 OK  。

或在 WINDOWS 下的 DOS 窗口下用命令方式“ rpp.exe <script.rpp> ”，其中 script.rpp 为脚本命令文件。

如你的输出文件己存在，它将覆盖。在命令方式下，脚本文件可是任何文件名和扩展名；但在对话窗口操作方式下，文件名必须为  *.rpp

脚   本   命   令

 -------------------  

  内存地址和原码都符合才会进行补丁 ,  字节间请用逗号分开。脚本文件不能大于 40K, 被补的字节有限为 1f0h 字节，被处理的原文件不小于 30h 字节。

脚本例子

;script.rpp

T=1000:     ; 对内存尝试 1000 次补丁 ,  不行则放弃 ,  如果不设默认为 8000

F=test.exe: ; 要补丁的程序

P=40101D/74,60/74,00:   ; 将命令 jz xx  改为 jz next instruction

P=4024A6/46,52,45,45,20/52,21,53,43,00: ; 将字符  'FREE '  替换成  'R!SC'

$ ; 结束

具体的脚本范例大家可参考其自带的 Scripts.zip 。

一些问题

  下面是一有趣的试验，写一脚本文件，输入输出名一样，产生一执行文件，该文件将不断装载其自身

最后导致 windows 崩溃，你只好重新启动了。

 'P=401000/68/B8:'

 'F=fun.exe:'

 'O=fun.exe:',  然后运行  fun.exe  不一会你只好重新启动微机了  :)

——————————————————————————————————

2.2 如何写Loader
     

作者:夜月
E-mail:luoyi.ly@yeah.net
写作日期:31th, August 2001
使用的工具
Trw2000 V1.23--Win9X Debugger
Masm32  V5.00--Loader Compiler
难易程度
Easy( )  Medium(X)  Hard( )  Pro( )
                ----------=======Declare========----------
  未经作者同意，不得修改、引用原文，一切权利保留。
  本教程只供教学用，其他一切用途皆被禁止。
            ------------------=====Begin=====------------------ 
  以Director 7.0为例，和大家谈谈如何写 Loader。当然，破解Director 7.0并不一定需要Loader，
它既没加壳，也没有CRC校验，完全可以用Patch的方法。但我这篇文章的目的不是教你如何破解Director,
而是教你如何写Loader。Clearly?
  Ready?
  Go!
  Director 7.0也是一个狗保护的软件，和Authorware差不多。跟踪过程并不复杂，在此略去。
  程序判断的关键点：
* Referenced by a CALL at Address:
|:00445A24 
|
:0058CC24 53                      push ebx
:0058CC25 32DB                    xor bl, bl
:0058CC27 E835000000              call 0058CC61
:0058CC2C 83F852                  cmp eax, 00000052
:0058CC2F 741D                    je 0058CC4E
:0058CC31 83F856                  cmp eax, 00000056
:0058CC34 7418                    je 0058CC4E
:0058CC36 3D76030000              cmp eax, 00000376
:0058CC3B 7411                    je 0058CC4E
:0058CC3D 3D54030000              cmp eax, 00000354
:0058CC42 740A                    je 0058CC4E
:0058CC44 83F841                  cmp eax, 00000041
:0058CC47 7405                    je 0058CC4E
:0058CC49 83F851                  cmp eax, 00000051
:0058CC4C 7502                    jne 0058CC50
* Referenced by a (U)nconditional or (C)onditional Jump at Addresses:
|:0058CC2F(C), :0058CC34(C), :0058CC3B(C), :0058CC42(C), :0058CC47(C)
|
:0058CC4E B301                    mov bl, 01
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:0058CC4C(C)
|
:0058CC50 E83E000000              call 0058CC93
:0058CC55 84C0                    test al, al
:0058CC57 7402                    je 0058CC5B
:0058CC59 B301                    mov bl, 01
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:0058CC57(C)
|
:0058CC5B 8AC3                    mov al, bl    <-----------改为 mov    al,1
:0058CC5D 5B                      pop ebx
:0058CC5E C20400                  ret 0004

  Loader的写作思路很简单，主要是你要知道有这些个API存在。我买了一本32位汇编的书，上面
竟然说在Window98里面，不能对别的进程进行读写。幸亏有《论坛精华2》中，DDXia翻译的一篇文章上
面有介绍如何读写别的进程，不然，我到现在还被蒙在鼓里。哎！现在的书呀，真有误人子弟的嫌疑了。
  写Loader要用到的几个API函数：
（1）    BOOL GetOpenFileName(
  LPOPENFILENAME lpofn  // 指向一个OPENFILENAME的结构
                          );
  该函数的作用是得到要被Load的程序的路径以及文件名            
（2）  （摘自罗云彬的Win32Asm教程）
  BOOL CreateProcess(
LPCTSTR lpApplicationName, // 执行程序文件名
LPTSTR lpCommandLine, // 参数行
LPSECURITY_ATTRIBUTES lpProcessAttributes, // 进程安全参数
LPSECURITY_ATTRIBUTES lpThreadAttributes, // 线程安全参数
BOOL bInheritHandles, // 继承标记
DWORD dwCreationFlags, // 创建标记
LPVOID lpEnvironment, // 环境变量
LPCTSTR lpCurrentDirectory, // 运行该子进程的初始目录
LPSTARTUPINFO lpStartupInfo, // 创建该子进程的相关参数
LPPROCESS_INFORMATION lpProcessInformation // 创建后用于被创建子进程的信息
);
      改函数的作用是创建进程，使被Load的程序运行起来
（3）    BOOL ReadProcessMemory(
  HANDLE hProcess,  // 被读的进程的句柄
  LPCVOID lpBaseAddress, // 开始读的地址
  LPVOID lpBuffer,  //  读完后，数据存放的地址
  DWORD nSize,      // 要读的数量，以字节为单位
  LPDWORD lpNumberOfBytesRead  // 实际上读的数量，以字节为单位
              );
  改函数的作用是读去一片范围的内存，可以作校验用——看看运行的进程是不是我们要Load的那个。
（4）    BOOL WriteProcessMemory(
  HANDLE hProcess,  // 被写的进程的句柄
  LPVOID lpBaseAddress, // 开始写的地址
  LPVOID lpBuffer,  // 要写入的数据存放地址
  DWORD nSize,      // 要写的数量，以字节为单位
  LPDWORD lpNumberOfBytesWritten // 实际上写的数量，以字节为单位
                          );
  
  写一个Loader要用的主要就是这4个函数。
  还有一个问题：如果程序被加壳了，我们如何知道它已经在内存里面节压缩完毕？
  R!sc用的是WaitForInputIdle的方法。这个方法很不错，对付大多数的壳都可以行得通。
  但是，对于这个程序而言，就没有WaitForInputIdle的必要了。因为它并没有加壳。
  好了，下面看看我写的这个Loader的源代码：
Loader源代码(load.exe)：
---------------------------------------Cut From Here------------------------------------------
;
;**********************************************************
;          主程序                                *
;**********************************************************
  .386p
  .model flat,stdcall
  option casemap :none
include        windows.inc
include        kernel32.inc
include          user32.inc
include          comdlg32.inc
include          comctl32.inc
includelib    kernel32.lib
includelib  user32.lib
includelib  comdlg32.lib
includelib  comctl32.lib
;**********************************************************
;        Normal Data                              *
;**********************************************************
     
  .data
CSiR_Tag    db    'PE LOADER & CRACKER-----ROBOTOW 2001',0
CSiR_Error    db    'Error!',0
CSiR_Error1    db    'Something fucked up...',0
OpenERR_txt    db    'CreateProcess Error :( ',0
ReadERR_txt    db    'ReadProcess Error :(',0
WriteERR_txt    db    'WriteProcess Error :P',0
VersionERR_txt    db    'Incorrect Version of application :(',0
CSiR_ProcessInfo    dd    4 dup(0)
CSiR_StartupInfo    db    48h dup(0)
CSiR_RPBuffer    db    10h dup(0)
szFilter          db    'Director.exe',0,'Director.exe',0
                db    'Execute Files',0,'*.exe,;*.com',0
                db 0
szTitleOpen    db    'Find Director.exe,0
szExt        db    '*.exe',0
;**********************************************************
;        Patch Data                                *
;**********************************************************
CSiR_AppName    OPENFILENAME <?>
CSiR_AppName_Buffer db 512 dup(?)
fuck        dd    58cc5bh
mysizeof        dd    6h
checkbytes    db    08Ah,0C3h,05Bh,0C2h,04h,00h
patch_data_1    db    0B0h,0
patch_size_1    dd    2
patch_addr_1    dd    58cc5bh
  .code
Start:
    invoke    InitCommonControls
    invoke    GetModuleHandle,NULL
          mov    CSiR_AppName.Flags,OFN_PATHMUSTEXIST or OFN_FILEMUSTEXIST
      mov    CSiR_AppName.lStructSize,SIZEOF CSiR_AppName
      mov    CSiR_AppName.hwndOwner,eax
      mov    CSiR_AppName.lpstrFilter,offset szFilter    
      mov    CSiR_AppName.lpstrFile,offset CSiR_AppName_Buffer    
      mov    CSiR_AppName.nMaxFile,512            
      mov    CSiR_AppName.lpstrInitialDir,0
      mov    CSiR_AppName.lpstrTitle,offset szTitleOpen
      mov    CSiR_AppName.lpstrDefExt,offset szExt

      invoke GetOpenFileName,offset CSiR_AppName
  mov    dword ptr [CSiR_StartupInfo],44h
  invoke CreateProcessA,offset CSiR_AppName_Buffer,0,0,0,0,20h,0,0,\
      offset CSiR_StartupInfo,offset CSiR_ProcessInfo
  test    eax,eax
  jz    OpenERR
  invoke    ReadProcessMemory,[CSiR_ProcessInfo],[fuck],offset CSiR_RPBuffer,\
                [mysizeof],0
  test    eax,eax
  jz    ReadERR
  cld
  lea    esi,CSiR_RPBuffer
  lea    edi,checkbytes
  mov    ecx,6
  repe    cmpsb
  jnz    VersionERR
Patch:    
  invoke    WriteProcessMemory,[CSiR_ProcessInfo],[patch_addr_1],offset patch_data_1,\
                [patch_size_1],0
  test    eax,eax
  jz    WriteERR
close_this_app:
  invoke    CloseHandle,[CSiR_ProcessInfo]
  invoke    CloseHandle,[CSiR_ProcessInfo+4]
  invoke    ExitProcess,NULL
VersionERR:
  lea    eax,VersionERR_txt
  jmp    abort
ReadERR:
  lea    eax,ReadERR_txt
  jmp    abort
WriteERR:
  lea    eax,WriteERR_txt
  jmp    abort
OpenERR:
  lea    eax,OpenERR_txt
abort:
  invoke    MessageBox,0,eax,offset CSiR_Error,0
  jmp    close_this_app
End    Start
------------------------------------------Cut End---------------------------------------------