华山资源网

一个简单的OD反AttacheMe
破解资源 2024/11/16 佚名
3 1
上周老师布置了个作业，编写程序HOOK OD的OpenProcess函数实现OD的反AttacheMe功能
比较简单，花了半小时就搞定了，入门级难度。
1、首先打开两份OD，其中一个OD A 附加另一个OD B
2、附加后在A上点击插件，API断点设置工具，常用断点设置，找到进程函数，对OpenProcess函数打钩，点击确定
一个简单的OD反AttacheMe

image.png

插件


一个简单的OD反AttacheMe

image.png

API工具


下完断点后，这时候OD是暂停的，按Ctrl+F9一直让他到运行状态。
一个简单的OD反AttacheMe

image.png


接着点击B的文件附加，这时候A进入断点。
断点停在了773C59D7这个位置。
一个简单的OD反AttacheMe

image.png


分析代码：
第1句
[Asm] 纯文本查看 复制代码
MOV EDI,EDI  ;嗯？多此一举？

第234句
[Asm] 纯文本查看 复制代码
PUSH EBPMOV EBP,ESPPOP EBP

黑人问号？全是多此一举的操作，大为不解。
接着 773C59DD 这一句是无条件跳转到下面的JMP
那么 也就是 函数开始的地方 773C59D7 到 773C59E3 全可以看做为 NOP
分析栈及其寄存器：
EAX是当前遍历的PID，可以利用一下
esp       地址为12CEA4，这个地址的值是谁在调用这个函数，对我们不重要
esp+4   地址为12CEA8，值为410，是VM_READ|QUERY_INFORMATION ，打开进程的权限，可以在这上面动手脚，写个0让它打开不了
esp+8   地址为12CEAC，值为0，是进程继承，对我们不重要
esp+12 地址为12CEB0，值为0，是进程ID，可以对这个做手脚，写个0，让它跳过我们的进程
分析完毕，这里有这么大一块空间就直接在这里写东西了，那么代码思路是判断eax是否为我们的进程PID，如果是，那么把esp+12写为0，不是就跳过。
[Asm] 纯文本查看 复制代码
cmp eax,0aaaaaaaajne 773c59e4MOV DWORD PTR SS:[ESP+0xC],0x0JMP DWORD PTR DS:[0x77381960]

代码写好后贴在773C59D7这里
一个简单的OD反AttacheMe

image.png


拿个计算器做下实验，打开计算器，拿到Pid，这个计算器的PID是0xB88
一个简单的OD反AttacheMe

image.png


修改刚才的CMP，改为 CMP EAX,0xB88
一个简单的OD反AttacheMe

image.png


然后F2取消断点，F9跑起来
可以看到OD的附加列表中没有计算器
一个简单的OD反AttacheMe

image.png


大功告成，接下来，把HEX数据复制下来，我们要在代码中实现这个功能。
一个简单的OD反AttacheMe

image.png


关键的两个数据
第一个是openprocess的函数地址
[C++] 纯文本查看 复制代码
#define OD_OPENPROCESS_ADDRESS (LPVOID)0x773c59d7

第二个就是刚才复制下来的HEX数据
[C++] 纯文本查看 复制代码
// od 反附加BYTE anti_od_attach[] = {    0x3D,0,0,0,0, // cmp eax,00000000    0x75,0x08, // jne 773c59e6    0xC7,0x44,0x24,0x0C,0x00,0x00,0x00,0x00, // MOV DWORD PTR SS : [ESP + 0xC] , 0x0    0xFF,0x25,0x60,0x19,0x38,0x77 // JMP DWORD PTR DS : [0x77381960]};

首先获取自己pid，然后把pid写回code
[C++] 纯文本查看 复制代码
    DWORD myPid = GetCurrentProcessId();    *(DWORD*)(anti_od_attach + 1) = myPid; // cmp eax,00000000  ->   cmp eax,myPid

然后就是固定模版啦，打开进程、设置虚拟内存保护属性，在需要的地方也就是（773C59D7）写入code，然后设置回原来的内存保护属性
开启保护前效果：
一个简单的OD反AttacheMe

image.png


开启保护后效果：
一个简单的OD反AttacheMe

image.png


现在在AttacheMe列表里，你看不到我进程了一个简单的OD反AttacheMe，所谓的对抗也就是这样，你分析我，我分析你，你HOOK我，我再HOOK你
挺简单的对吧
[C++] 纯文本查看 复制代码
#include <iostream>#include <windows.h>#include <tchar.h>#include <psapi.h>#pragma comment(lib, "psapi.lib")// od的openprocess函数开始地址#define OD_OPENPROCESS_ADDRESS (LPVOID)0x773c59d7using namespace std;// od 反附加BYTE anti_od_attach[] = {    0x3D,0,0,0,0, // cmp eax,00000000    0x75,0x08, // jne 773c59e6    0xC7,0x44,0x24,0x0C,0x00,0x00,0x00,0x00, // MOV DWORD PTR SS : [ESP + 0xC] , 0x0    0xFF,0x25,0x60,0x19,0x38,0x77 // JMP DWORD PTR DS : [0x77381960]};// od 关闭反附加BYTE on_od_attach[] = {    0xFF,0x25,0x60,0x19,0x38,0x77, // JMP DWORD PTR DS : [0x77381960]    0x90,0x90,0x90,0x90, // nop    0x90,0x90,     0x90,0x90,0x90,0x90,0x90,0x90,0x90,0x90,     0x90};// 根据进程找pidDWORD FindPid(LPCTSTR name);int main(){    system("title ==== Anti OD Attach ====");    // 把自己pid记下来生成opcode,让od attach时跳过我的程序    DWORD myPid = GetCurrentProcessId();    *(DWORD*)(anti_od_attach + 1) = myPid; // cmp eax,00000000  ->   cmp eax,myPid    printf("My PID:%08X\n", myPid);    int num;    BYTE* pCode;    DWORD pCodeLen = sizeof(anti_od_attach);    while (true) {        cout << "0 = OD不能AttachMe" << endl;        cout << "1 = OD可以AttachMe" << endl;        cout << "其他退出" << endl;        cout << "请输入:";        cin  num;        if (num == 0) {            pCode = anti_od_attach;        } else if (num == 1) {            pCode = on_od_attach;        } else {            break;        }        // 找到进程PID        DWORD pid = FindPid(L"OLLYDBG.EXE");        printf("1、OD PID:%08X\n", pid);        // 打开进程        HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, pid);        // 代码段置为可写        DWORD oldProtect;        VirtualProtect(OD_OPENPROCESS_ADDRESS, pCodeLen, PAGE_READWRITE, &oldProtect);        // 内联Hook        SIZE_T realWriteNum;        WriteProcessMemory(hProcess, OD_OPENPROCESS_ADDRESS, pCode, pCodeLen, &realWriteNum);        // 代码段置为不可写        DWORD oldProtect2;        VirtualProtect(OD_OPENPROCESS_ADDRESS, pCodeLen, oldProtect, &oldProtect2);        printf("功能生效\n");    }}DWORD FindPid(LPCTSTR name) {    DWORD aProcesses[1024], cbNeeded, ModNeeded;    if (!EnumProcesses(aProcesses, sizeof(aProcesses), &cbNeeded))        return -1;    HANDLE hProcess;    HMODULE hMod;    TCHAR szProcessName[MAX_PATH] = _T("unknown");    int nProcesses = cbNeeded / sizeof(DWORD);    for (int i = 0; i < nProcesses; i++) {        hProcess = OpenProcess(PROCESS_QUERY_INFORMATION |            PROCESS_VM_READ,            FALSE, aProcesses[i]);        if (NULL != hProcess) {            if (EnumProcessModules(hProcess, &hMod, sizeof(hMod), &ModNeeded)) {                GetModuleBaseName(hProcess, hMod, szProcessName, sizeof(szProcessName));                if (lstrcmpi(szProcessName, name) == 0) {                    return aProcesses[i];                }            } else                continue;        }    }    return -1;}

华山资源网 Design By www.eoogi.com
广告合作：本站广告合作请联系QQ：858582 申请时备注：广告合作（否则不回）
免责声明：本站资源来自互联网收集,仅供用于学习和交流,请遵循相关法律法规,本站一切资源不代表本站立场,如有侵权、后门、不妥请联系本站删除！
华山资源网 Design By www.eoogi.com
www.eoogi.com 华山资源网
120,135影音资源
344,641技术资源
22,817软件资源
435,032站长资源
一句话新闻
苹果官宣WWDC 2024！预计会有大批AI功能 - 2024/11/16

3月27日消息，苹果宣布2024年全球开发者大会（WWDC）将于6月10日至6月14日举行，巧合的是，这次大会与端午假期重合。

苹果官方表示：

在线参加 Apple 每年规模最大的开发者盛会。亲眼见证 Apple 最新平台、技术和工具的发布。了解如何创建和改进你的 App 和游戏。与 Apple 设计师和工程师互动交流，与全球开发者社区建立联系。以上活动均免费在线举行。

探索各种新的工具、框架和功能，助力你打造出理想的 App 和游戏。通过视频讲座学习新技能，与 Apple 专家进行一对一会面，以推进你的项目，完善你的构思。

Swift Student Challenge 旨在支持和鼓舞下一代开发者、创作者和企业家。太平洋时间 3 月 28 日，我们将公布今年的获奖者名单。获奖者将有资格参加在 Apple Park 举办的特别活动。我们还会选出 50 名杰出获胜者，他们将受邀前往库比提诺，获得为期三天的非凡体验，包括参加 Apple Park 的特别活动。

RTX 5090要首发 性能要翻倍！三星展示GDDR7显存

三星在GTC上展示了专为下一代游戏GPU设计的GDDR7内存。

首次推出的GDDR7内存模块密度为16GB，每个模块容量为2GB。其速度预设为32 Gbps（PAM3），但也可以降至28 Gbps，以提高产量和初始阶段的整体性能和成本效益。

据三星表示，GDDR7内存的能效将提高20%，同时工作电压仅为1.1V，低于标准的1.2V。通过采用更新的封装材料和优化的电路设计，使得在高速运行时的发热量降低，GDDR7的热阻比GDDR6降低了70%。

更新日志

友情链接

杰晶网络 DDR爱好者之家 桃源资源网 杰网资源 富贵资源网 南强小屋 铁雪资源网 幽灵资源网 万梅资源网 狼山资源网 白云岛资源网 昆仑资源网 相思资源网 明霞山资源网 内蒙古资源网 黑松山资源网 茶园资源网 饿虎岗资源网 大旗谷资源网 常春岛资源网 岱庙资源网 兴国资源网 快活林资源网 蝙蝠岛资源网 帝王谷资源网 白云城资源网 伏龙阁资源网 清风细雨楼 天枫庄资源网 圆月山庄资源网 无争山庄资源网 神水资源网 移花宫资源网 神剑山庄资源网 无为清净楼资源网 金钱帮资源网 丐帮资源网 华山资源网 极乐门资源网 小李飞刀资源网 凤求凰客栈 风云阁资源网 金狮镖局 鸳鸯亭资源网 千金楼资源网 更多链接
华山资源网 Design By www.eoogi.com