【Windows逆向】Windows进程动态patch入门+pyqt5搭建GUI

目标

希望学习对Windows进程的动态patch，我们选择的exe是buuoj的“不一样的flag”。这题是迷宫题的hello world，没有加壳，没有任何代码混淆，且可以把它当成一个超小型的游戏，_{有助于提升信心}。

为了直观，以GUI的形式提供对目标进程的动态patch功能：

1.未检测到目标进程，相关的输入控件不可使用。
2.检测到目标进程时，读取目标进程内存中的数据，显示目标进程信息、迷宫和当前人物的坐标。
3.检测到目标进程时，提供“允许在障碍物上”、“允许不合法输入”和修改人物坐标功能（这些需求是根据其反汇编代码确定的）。

效果图：

检测到进程：

未检测到进程：

依赖

• spy++：<visual studio安装路径>\2019\Community\Common7\Tools\spyxx_amd64.exe。
• 用pyqt5提供的qtdesigner来设计GUI。
• 用pyinstaller打包成exe。
• pywin32和pyqt5：

pip install pywin32
pip install PyQt5
pip install PyQt5-tools
pip install pyinstaller 

pyqt5安装完毕后可以把<python安装路径>\Lib\site-packages\pyqt5_tools加到环境变量上。

不想用visual studio+cpp，太臃肿了。所以选择了pywin32。

分析

打开IDA，立刻得到反汇编代码。

void main()
{char v0; // [sp+17h] [bp-35h]@1int v1; // [sp+30h] [bp-1Ch]@1int v2; // [sp+34h] [bp-18h]@1signed int v3; // [sp+38h] [bp-14h]@2signed int i; // [sp+3Ch] [bp-10h]@14int v5; // [sp+40h] [bp-Ch]@20__main();v1 = 0;v2 = 0;qmemcpy(&v0, _data_start__, 0x19u);while ( 1 ){puts("you can choose one action to execute");puts("1 up");puts("2 down");puts("3 left");printf("4 right\n:");scanf("%d", &v3);if ( v3 == 2 ){++v1;}else if ( v3 > 2 ){if ( v3 == 3 ){--v2;}else{if ( v3 != 4 )
LABEL_13:exit(1);++v2;}}else{if ( v3 != 1 )goto LABEL_13;--v1;}for ( i = 0; i <= 1; ++i ){if ( *(&v1 + i) < 0 || *(&v1 + i) > 4 )exit(1);}if ( *((_BYTE *)&v5 + 5 * v1 + v2 - 41) == '1' )exit(1);if ( *((_BYTE *)&v5 + 5 * v1 + v2 - 41) == '#' ){puts("\nok, the order you enter is the flag!");exit(0);}}
} 

这道迷宫题很简单，只说结论：通过patch

if ( *((_BYTE *)&v5 + 5 * v1 + v2 - 41) == '1' ) exit(1); 

实现“允许在障碍物上”。通过patch

if ( v3 != 4 )
LABEL_13:exit(1);
if ( v3 != 1 ) goto LABEL_13; 

实现“允许不合法输入”。

GUI

打开<python安装路径>\Lib\site-packages\qt5_applications\Qt\bin下的designer.exe。拖完ui后用pyuic把.ui文件（实质上是xml文件）转为.py：

pyuic5 -o destination.py source.ui 

其中：

• -o表示生成一个文件。
• destination.py是要生成的.py文件。

见“代码”章节的different_flag_ui.py。

Windows进程动态patch

监控进程

因为还需要响应UI，我们需要开一个子线程，pyqt5提供的解决方案是QThread+pyqtSignal。子线程的伪代码：

while True:监控进程是否存在，然后self.某signal.emit()向主线程发数据time.sleep(1) 

• 子线程不要更新任何ui，ui和业务逻辑要分开。