最近看了《逆向工程核心原理》第二章分析最著名的程序——HelloWord
《逆向工程核心原理》
本人也是小白，再次分享一下学习过程：
首先创建一个源文件的副本：
副本
预览一下修改后的文件和源文件：
源文件
修改后的文件
首先我们用Debugger打开bin文件：
OllyDbg
我用的是OD，载入程序后可以发现调试器自动定位到了EP处(Entry Point：入口点，是windows可执行文件(sys驱动，exe二进制，dll动态链接库)最先执行的代码在内存中的起始位置)，这里基本是一些Stub Code(启动函数或称之为Start Code：是编译器为了保证代码可以被正常执行，自动创建的，不在我们的Source Code中。个人感觉大部分是调用的Win32 API)。
之后我们要找到要修改的内容在内存中的位置，根据程序的界面可以推断出程序大致用的代码，这里可以看到程序运行只有一个信息对话框，MesaageBox，可以判断出调用了User.MessageBoxW()，所以，我们搜索所有模块间调用
搜索模块间调用
如图显示出了所有的模块间调用，双击MessageBox即可跳转到调用处
此时我们已经找到了MessageBoxW，并且可以看到他的参数，以及参数的内存地址：
调用MessageBoxW()处
之后，我们只需要定位到参数的内存地址(409278~4092A0(开区间，H的起始地址))之后修改即可：
输入跟踪表达式
VA：Virtual Address虚拟内存地址
参数的字符串
替换字符串
之后运行即可看到显示结果：
替换字符串后的结果
之后保存修改：
保存修改1
保存修改2
保存修改3
当然你可也可以修改标题：
修改标题
小结：通过Buffer(字符串缓冲区)修改字符串有一定的危险性，当你修改的字符串大于原串时，会覆盖后面的内存，可能导致程序出错。当然也可以在新的空内存空间写入字符串之后修改汇编命令，当然如果想要正常成功运行exe还需要PE知识，这对于身为小白的我来说也是后话了。哈哈(ಡωಡ)
另外，这本书的资源都是要收费的，在此我奉献上宝贵的资源包括了源码和实例(找了一个多小时)：http://www.pan.baidu.com/s/1i5s3kIp
密码：pqi6
网友评论