《逆向工程核心原理》20章内嵌补丁练习

内嵌补丁练习

参考资料：《逆向工程核心原理》20章。

样本：找了很久，网上基本没人发到网上，发了的都是要钱的(难受)，只不过还是在吾爱破解注册了个号下载下来了(花了19块，QAQ)。所以这里给一个我的百度网盘连接给所有爱学习的人https://pan.baidu.com/s/1GlrUwfRX1aMBDLr54B1iLQ 提取码yeah

目的：通过内嵌补丁来修改样本中的两个字符串。

什么叫内嵌补丁

先给一张图

大概意思就是，有些时候我们不能直接改代码，可能是因为代码被加密了，或者有其他一些检查，于是我们就需要通过插入补丁代码，让程序运行同时，也运行我们的补丁，然后这个补丁就可以来修改代码(这个样本就是通过修改解密后的代码达到修改字符串的目的)。

分析样本

先打开文件，会跳出这两个窗口，我们就是要改变这两个窗口的字符串

然后放入x32dbg分析，先f9来到EP处

然后跟进call unpackmecrc.4010E9这个函数，进去后再跟进call unpackmecrc.40109B这个函数，也就来到了解密函数。

可以先看看经过两次解密后004010F5–00401249大概是什么内容，可以看到窗口出现的字符串。

然后继续跟，来到call unpackmecrc.401039这个函数，这个函数是已经被解密了的。

跟进去看会发现是一个Crc效检。
-
然后先看看解密出来的0040124A–401280

来到OEP处，有一个关键的函数

先来看看这个函数DialogBoxParamA()

INT_PTR DialogBoxParamA(
  HINSTANCE hInstance,
  LPCSTR    lpTemplateName,
  HWND      hWndParent,
  DLGPROC   lpDialogFunc,对话框过程的指点。有关对话框程序的更多信息，请参阅对话程序。
  LPARAM    dwInitParam
);

详细到这个网站去看https://docs.microsoft.com/en-us/windows/win32/api/winuser/nf-winuser-dialogboxparama

然后就先进入第4个参数地址处内部去看看，原来004010F5–00401249是被加密过的，现在已经解密了。

分析到这里就差不多了，开始打补丁。