4.12 逆向班级在线答疑一周

1.windows10 DNF图标出不来,CE没法附加调试,怎么操作?

答: 群文件搜索过图标工具... --- Asbeel

2.创世战车无法OD?查看不到进程,dll注入不了

答:这个游戏暂时过不掉保护了,先看思路吧,主要是了解一下里面的加密是怎样的流程。-小迪

3哪里下载window7 虚拟机

答:爱奇艺网站,搜索“虚拟机”,里面有教程和下载安装方法,排名第一的视频不出意外就是我的-小迪

4.

请问使用ce的时候,查找访问和查找写入提示这个,该怎么办呢?? 我今天附加cf时也出现这个情况,然后我用打开,再过一会就36-2(我是按照教程上的步骤,系统也是win10)

答: 因为tp对api挂了钩子, 不允许外来的dll注入, CE的VEH调试模式会往目标进程注入VEH的dll, 注入失败就会出现这个, 使用pchunter还原应用层钩子即可 ---Asbeel

5.继上周我VS代码hook里 写入jmp 前面会有

0368000C CC int3

0368000D CC int3

0368000E CC int3

0368000F CC int3

03680010 55 push ebp

03680011 8BEC mov ebp, esp

这些内容,上次给出的解决办法是 编译出release版本并把程序的所有优化去掉,可我编译release并且把项目属性里的C/C++优化和全程序优化都关了可还是没有解决~附图如下(双击放大):

答:Jmp不是这么写的,去我博客看看那边的hook怎么写的,里面有jmp写法,是需要计算的。-小迪

6.我们下硬件断点或者任何断点的时候,他断下的位置都是关键代码的下一行吗?还是说不同断点他断下的位置也不一样呢?比如说 ,我给一个地址下了写入断点,那么他断下的位置就应该是写入的下一行对吗?

答: 只有硬件访问断点是下一行

7.根据狗群主上传的工具 来过TP保护已经把文件放在C盘了但是lsrss.exe我打不开用的是别的工具来恢复的钩子 但是恢复钩子会导致蓝屏死机,我是windows10的系统,这个怎么过TP的保护呢?

答: 1909不适用这个方法, 建议换成与教程一致的系统版本测试 - Asbeel

8.对于加密数据:基地址->加密->偏移->数值 怎么寻找解密的位置?

答:在当前函数的尾部下断,一般游戏会调用call来解密这段函数,回溯到上层即可发现对应的解密call,若是模拟器类的游戏,则需要可以对加密地址下断跑一遍会有部分左移等二进制类的计算,则可以翻译汇编代码自行写解密-小风

原文地址:https://www.cnblogs.com/Rehacker/p/12687294.html