【Hack Tutorial】DLL Relocation

krizal · 发表于 2009-8-13 20:14:40

[tr][td] ( I- s5 O c( d/ ~' S' i
PC Game Hack -- DLL Relocation & C( r L4 X5 e4 x% J4 q4 L7 \|, G! `
Author: Krizal Chen 2 M6 d# q) A! h# v& k
HackerTeam: VirusDream7 + _# w+ D% m9 ]9 ?: E' o' S# `1 j
Original: DarkShadow GameHackTeam ) M8 ~3 Y h: \|6 O' e8 t
WebSite:http://kenkuroro.t35.com 9 m# z1 H* T2 Y* D
Blog:http://tw.myblog.yahoo.com/dsght-krizal 4 c! G0 Z$ r9 `1 }1 Q" v( Q
8 t; L8 }1 }4 \
. i7 z3 ~0 o/ V$ r* {
5 r6 X1 k* f/ R, k! s0 L+ R
昨天2009/08/12 Thursday + n' i" ~. c( A3 v. O
我們家的寶貝米格魯 - ミル，生了七隻小寶寶， 5 ~( {( Q3 C4 {" J) t y
雖然三隻夭折了，不過新生命的誕生仍然值得祝賀， $ `: j& z; G5 X3 o5 n+ L
希望那三隻可愛的寶寶也能早日投胎。 ; @, l$ w1 T/ g5 u& D2 c8 r$ V+ ]
# I0 ~. F" Q: s( u4 ?
明天是本人的生日， * {1 f% m" J* G$ d& m1 ~& @; ?
依照慣例都會發一些Hack ROM，不過最近很忙沒什麼時間， # {6 B/ l! y. m1 l- T3 F
於是把我這禮拜Hack某�	西的某些資料，整理簡化寫個教學， 0 r5 [4 D4 I6 N7 j0 \|& k+ z+ ~
適用於PC Game Hack或是加密解密的應用。 % Y! l0 D% V/ F/ F2 Z
4 h3 W+ j& A- { x* ^
3 o( z6 P0 I) p! p7 P' o
' x, F: R2 o+ O, k' b
; T9 Z: ~! k/ V5 Y
首先我們先了解什麼是重定位？ % e7 j6 y7 t1 B+ }, H6 \|1 q1 w
) f6 W" _9 R1 q* i; }
一般Windows執行檔EXE， $ q- y$ A" v7 I: u4 P! V: z) ~
於執行中系統會想盡辦法，讓EXE定位在ImageBase上。 6 u8 y, q- v$ e/ w% F
但是DLL並沒有辦法獲得保證，所以需要重定位資料， " E1 j( Y: [ k
使DLL重新定位，否則可能造成程式執行上的錯誤。 3 }& X4 @; e/ I$ \% g5 h% J2 }. r6 Y* z
, t n9 X- y6 [' D/ Z

什麼時候需要重定位？ " g" }$ g; i% @" \|% O2 o( B, l0 Q
5 n0 z7 r- z' g. a. { Y8 W( z; I
當我們修改完DLL的時候，都必須進行重定位修復。 + a. A6 {: P2 A1 X; s) h! k: T4 z, [" C

ex: + R; t' o3 ?+ K/ [) ^1 \/ g! c) L2 t
Original:
% x0 u# n, L$ h9 \/ Y2 B005269A8    6A 00             push 0
005269AA    6A 00             push 0
005269AC    E8 72000000       call Visual.00526A23

After:
005269A8    68 10695300       push Visual.00536910
005269AD    68 20645200       push Visual.00526420
005269B2    E8 6C000000       call Visual.00526A23

當以上程式碼經過修改後有兩段需要進行重定位:

005269A8    68 【10695300】    push Visual.00536910
005269AD    68 【20645200】    push Visual.00526420
005269B2    E8  6C000000       call Visual.00526A23
Must be relocated Address: 0x5269A9 & 0x5269AE

實際範例:

本人使用了C++撰寫了一個DLL Demo和DLL Loader，
給大家方面練習，下載於附件。

修改目的，讓MsgBox彈出顯示字串。

P.S.
為了讓初學者快速上手，DLL已經處理過，
可以直接使用RVA，且更改ASM時也預留了很多空間。
突然看到ASM程式碼下面很多NOP，絕對不是偶然 ^_^

游客，如果您要查看本帖隐藏内容请回复

[ 本帖最后由 krizal 于 2009-8-13 20:25 编辑 ]

yyhxyr · 发表于 2009-8-13 22:17:56

汗...
看不懂,纯支持了
:L

lmjny · 发表于 2009-8-13 22:49:34

回帖看隐藏:loveliness:

yzb · 发表于 2009-8-14 02:42:28

团长的东西都是让我们这些新手看着晕头:victory:

HeavenTrain · 发表于 2009-8-14 07:44:11

虽然看不懂，还是要支持下。:loveliness:

nianxu · 发表于 2009-8-14 10:49:58

感谢团长，支持下。

湘西小人物 · 发表于 2009-8-14 16:00:50

那个好象我顶过团长的这帖了
论坛回滚:funk:

krizal · 发表于 2009-8-14 18:32:42

跟原始資料比較起來這個應該很簡單，
已經有盡量簡化過了，希望各位能有所得。
學會後對於Hack DLL 很有用處。

PS:
1.MessageBox 可以自行呼叫ASCII 或是WideChar格式的，
但是記得更換字串書寫格式。

2.此DLL其實更改後需要修復3處，
最後一處蠻簡單的，就留給大家當Homework。

湘西小人物 · 发表于 2009-8-14 21:03:11

睡起来看看，在顶一帖

fabio1983 · 发表于 2009-8-15 09:01:59

提示: 作者被禁止或删除内容自动屏蔽

blue-ray · 发表于 2009-8-15 11:29:53

看看隐藏

疾风之狼 · 发表于 2009-8-17 20:25:26

来迟了，支持一下团长，团长生日快乐。:loveliness:

账号		自动登录	找回密码
密码			立即注册

[原创HACK教程] 【Hack Tutorial】DLL Relocation

评分

fabio1983 fabio1983 当前离线精华阅读权限 0 最后登录 1970-1-1 IP卡狗仔卡头像被屏蔽该用户从未签到	发表于 2009-8-15 09:01:59 \| 显示全部楼层提示: 作者被禁止或删除内容自动屏蔽

	回复支持反对使用道具举报显身卡