【Hack Tutorial】DLL Relocation

krizal · 发表于 2009-8-13 20:14:40

[tr][td] 1 L" @! Y* q A& z, r$ f
*PC Game Hack -- DLL Relocation l ~6 H9 ^+ o6 h* a$ q. W/ ~**
*Author: Krizal Chen 5 f5 Z U: m6 y+ j/ W) B7 z0 w**
HackerTeam: VirusDream7 % a( P7 ^5 \|" P! v6 G! v
Original: DarkShadow GameHackTeam : l3 l( c' P( G A3 K8 `5 g: J/ y
WebSite:http://kenkuroro.t35.com & M4 j6 W$ R/ F% A; H8 [
Blog:http://tw.myblog.yahoo.com/dsght-krizal ( G1 A2 t% w! `3 \|. P* e( o; J
# Y* T% X7 e' V; W
: W7 w$ t1 A. j y p, I! P9 c# ]
- C6 z$ m! u4 B# I1 ^! j
昨天2009/08/12 Thursday 1 G7 B: B8 B+ d: S
我們家的寶貝米格魯 - ミル，生了七隻小寶寶， , V% T0 V9 C- a) R! a+ ~4 `% M5 ?0 z
雖然三隻夭折了，不過新生命的誕生仍然值得祝賀， 9 H; A" I: \|+ i9 I! W
希望那三隻可愛的寶寶也能早日投胎。 ) i& e% M6 T. m% H2 H' B R
% r2 z$ u0 K+ E$ q- M! z: N
明天是本人的生日， 2 g1 f6 e; n2 P; e9 ~ x% P
依照慣例都會發一些Hack ROM，不過最近很忙沒什麼時間， 9 o/ @- ^2 s! e: _
於是把我這禮拜Hack某�	西的某些資料，整理簡化寫個教學， ! S6 Q$ s4 S/ p' l/ T! F9 a$ k* \|
適用於PC Game Hack或是加密解密的應用。 8 G, T% V: `# _& P. Y' q0 Q) B6 v
0 r$ a4 \|* ?3 B! e
' E1 E0 y5 k; e6 e$ G5 u
0 u) u0 N( u# z+ j* l
8 i& L" H$ ]- b5 }+ A
首先我們先了解什麼是重定位？ 7 c; q C b. x. C
3 r. \. k. Q m
一般Windows執行檔EXE， $ `- D+ \|* q# R; m5 f: v
於執行中系統會想盡辦法，讓EXE定位在ImageBase上。 6 n" t2 v2 w/ N9 Q# Q' z1 f
但是DLL並沒有辦法獲得保證，所以需要重定位資料， 0 r) C$ R7 O) `7 \|: y; W
使DLL重新定位，否則可能造成程式執行上的錯誤。 x8 ?, Y& u# P6 v+ P4 J
3 k5 S5 \! s$ {& T/ S' G! \|+ {
: H' Q! T; v0 C
什麼時候需要重定位？ ' F0 P3 C# \|. [3 V1 F
' {1 e; d- X: l0 w
當我們修改完DLL的時候，都必須進行重定位修復。 " c% M/ a! G! r( F+ n

ex: 2 @1 {' \! N$ N1 \! I: ~' C
Original: * @% G; w2 ~$ d9 a, ~0 H5 p
005269A8    6A 00             push 0
005269AA    6A 00             push 0
005269AC    E8 72000000       call Visual.00526A23

After:
005269A8    68 10695300       push Visual.00536910
005269AD    68 20645200       push Visual.00526420
005269B2    E8 6C000000       call Visual.00526A23

當以上程式碼經過修改後有兩段需要進行重定位:

005269A8    68 【10695300】    push Visual.00536910
005269AD    68 【20645200】    push Visual.00526420
005269B2    E8  6C000000       call Visual.00526A23
Must be relocated Address: 0x5269A9 & 0x5269AE

實際範例:

本人使用了C++撰寫了一個DLL Demo和DLL Loader，
給大家方面練習，下載於附件。

修改目的，讓MsgBox彈出顯示字串。

P.S.
為了讓初學者快速上手，DLL已經處理過，
可以直接使用RVA，且更改ASM時也預留了很多空間。
突然看到ASM程式碼下面很多NOP，絕對不是偶然 ^_^

游客，如果您要查看本帖隐藏内容请回复

[ 本帖最后由 krizal 于 2009-8-13 20:25 编辑 ]

yyhxyr · 发表于 2009-8-13 22:17:56

汗...
看不懂,纯支持了
:L

lmjny · 发表于 2009-8-13 22:49:34

回帖看隐藏:loveliness:

yzb · 发表于 2009-8-14 02:42:28

团长的东西都是让我们这些新手看着晕头:victory:

HeavenTrain · 发表于 2009-8-14 07:44:11

虽然看不懂，还是要支持下。:loveliness:

nianxu · 发表于 2009-8-14 10:49:58

感谢团长，支持下。

湘西小人物 · 发表于 2009-8-14 16:00:50

那个好象我顶过团长的这帖了
论坛回滚:funk:

krizal · 发表于 2009-8-14 18:32:42

跟原始資料比較起來這個應該很簡單，
已經有盡量簡化過了，希望各位能有所得。
學會後對於Hack DLL 很有用處。

PS:
1.MessageBox 可以自行呼叫ASCII 或是WideChar格式的，
但是記得更換字串書寫格式。

2.此DLL其實更改後需要修復3處，
最後一處蠻簡單的，就留給大家當Homework。

湘西小人物 · 发表于 2009-8-14 21:03:11

睡起来看看，在顶一帖

fabio1983 · 发表于 2009-8-15 09:01:59

提示: 作者被禁止或删除内容自动屏蔽

blue-ray · 发表于 2009-8-15 11:29:53

看看隐藏

疾风之狼 · 发表于 2009-8-17 20:25:26

来迟了，支持一下团长，团长生日快乐。:loveliness:

账号		自动登录	找回密码
密码			立即注册

[原创HACK教程] 【Hack Tutorial】DLL Relocation

评分

fabio1983 fabio1983 当前离线精华阅读权限 0 最后登录 1970-1-1 IP卡狗仔卡头像被屏蔽该用户从未签到	发表于 2009-8-15 09:01:59 \| 显示全部楼层提示: 作者被禁止或删除内容自动屏蔽

	回复支持反对使用道具举报显身卡