逆向工程核心原理2：程序补丁

很多软件都有自动更新程序，最著名的当属微软的自动更新。软件公司通过更新补丁来完善软件、修补漏洞，提高软件的健壮性，延长软件的生命周期。 补丁的原理：很多软件执行都有一个预读入准备文件，在这个文件中，有执行程序要运行的所有步骤（比如先运行哪个程序，后运行哪个程序或先执行哪条命令，后执行哪条命令），软件更新就是基于这样的原理，通过将更新文件的链接地址，文件名及执行命令写入预读入准备文件中，完成程序更新的前期准备工作，然后开始提示用户，程序可以开始更新了，是关闭程序更新还是稍后再更新，由用户来选择。 ...

快速查找指定代码 1.执行代码 顾名思义就是不断执行（F8）即可，直到找到我们所需的函数（一般找一些有明显特征的函数）。该方法适用于代码量不大，程序功能明确的情况，适用范围小。 2.搜索字符串 即我的新手逆向(1)中所用的搜索方法 3.字符串检索法 如图所示代码窗口右键操作即可 4.API检索法 (1).所有模块间的调用+(2).所有模块中的名称——在上图可看到这个词 哈哈，人懒，主要是感觉不是经...

首先编译release版本的helloword程序，代码如下： 编译完成，拖进OD，结果如图。 程序断在了004011A1 这个地址，这个就是EntryPoint. 这个地址调用了004022DF这个地址的函数，F7跟进函数，如图。 并没有什么有用的信息让我们查找Main函数，然后Ctrl+F9调到函数结尾,retn. 然后F8跳出，到达了

1.1       源程序分析第一次解密4010F5，与0x44异或解密401007，与0x7异或，一直到0x401086第二次解密4010F5,与0x11异或。将4010F5处的内容累加得到校验和，与0x31EB8DB0作比较，来判断代码/数据是否被改动过。下图是我们将要修改的字符串。分别位于0x40110A和0x401123        解密代码。1.2       内嵌补丁思路：解密结束后...

链接：https://pan.baidu.com/s/1qvXbeE9AIZyTpVTKIIyuGA 提取码：zofw

比如要对A函数打补丁，A函数修改完为B；而A的调用者为C，D，E和F 打补丁时直接把C，D，E和F里面A修改成B是不太现实的。 可以这样处理。在A函数第一条指令前加一条异常（非法）指令。 当C调用A时，会触发SIGILL异常信号，在SIGILL信号异常处理函数里面修正C里面A的地址为B，并执行B。这样C第二次调用A的时候地址已经修改成了B。D，E和F也是同理，第一次修正执行，后续直接执行。 ...

1 HideProc2.cpp 作用是将Dll注入到当前存在的所有进程。 HideProc2.cpp与HideProc.cpp相比只是减少了参数个数，不再赘述。 2 Stealth2.cpp 作用是隐藏目标进程和注入子进程。 一次性钩取三个函数，CreateProcessA,CreateProcessW,ZwQuerySystemInformation实现全局钩取 2.1 DllMain（） BO...

F9运行，观察右下角窗口，确认函数的起始代码存储在栈中的返回地址（7401E5A9）观察EAX为00000001，说明都是相同的运行代码，所以只要对一处打补丁即可。继续运行，弹出消息框，选择确定，出现主画面，按Nag:又会跑到2CFE.找到view——breakpoints——disabled，全部激活。跳转到7401E5A9，找到调用指令7401E5A7，设置断点。运行到7401E5A7，观察到EAX为00402649。转到00402649，最终跳转到402C17。给402C17添加断点，重新启动。

       程序调试有静态调试和动态调试两种。静态调试是指将程序源代码编译成可执行程序之前，用手工或编译程序等方法对程序源代码进行测试，来查找和修正程序中的语法错误和逻辑错误。动态调试则是在可执行程序的运行过程中，来查找和修正程序中的语法错误和逻辑错误。随着系统安全与逆向工程的不断发展，程序调试已经成为信息安全爱好者所必备的一种技术。 ​       汇编是将汇编代码编译、链接成可执行文件的过...

一、前期准备本次要破解的是《逆向工程核心原理》书本中提到的patchme程序（一）、程序很简单，只有两个窗口             程序很简单，但是字符串在程序中都被加密了，所以稍微有点麻烦。二、破解过程（一）、使用x32dbg载入程序，按F9跳转到入口点。（二）步入第一个call调用（三）按f8步进来到40109B处仔细分析这段代码，会发现这段代码的是第一轮解密代码，对004010F5到004...

1.hideproc.cpp 用于注入DLL 1.1InjectAllProcess（） BOOL InjectAllProcess(int nMode, LPCTSTR szDllPath) { DWORD dwPID = 0; HANDLE hSnapShot = INVALID_HANDLE_VALUE; PROCE...

示例 #vim test0 1111 1111 1111 #vim test1 1111 2222 1111 1.制作补丁 #diff -uN test0 test1 > test1.patch   2. 给test1打补丁 patch -p0 < test1.patch cat test0

hookiat.dll // include #include "stdio.h" #include "wchar.h" #include "windows.h" // typedef typedef BOOL (WINAPI *PFSETWINDOWTEXTW)(HWND hWnd, LPWSTR lpString); // globals FARPROC g_pOrgFunc = NU...

代码注入是一种向目标进程插入独立运行代码并使之运行的技术，它一般调用CreateRemoteThread()API以远程线程形式运行插入的代码，所以也被称为线程注入。 和DLL注入相比代码注入占用内存少并难以查找痕迹。所以DLL注入技术主要用在代码量大且复杂的时候，而代码注入技术则适用于代码量小且简单的情况比如shellcode。下面我们先测试一下代码。 运行notepad.e

对于Linux 下打补丁，大家可能还没意识到这是个学习Linux内核的非常好的机会，每个补丁的分析都会让你更加了解内核，日积月累，相信逐步积累终会引发质变，我们都会成为大牛～

c代码注入和汇编代码注入