小破孩exe逆向笔记

1.add加法 sub减法 cmp比较 mov赋值
2.字符串搜索预设值（假如你知道这个值）
3.在汇编代码中，数值通常用 16 进制表示
4.hook 给eax赋值一个32位的字符串 FFFFFFFFFFFFFFFFFFFFFF
5.在正常赋值密码位置写入hook方法
jmp demo.XXXXXXX 无条件跳转

1.cmp 比较大小，实际是做减法运算来比较大小
2.mov eax, 5 ; 将 5 赋给 eax (对应 a)
mov ebx, 10 ; 将 10 赋给 ebx (对应 b)
add eax, ebx ; eax = eax + ebx
ret ; 返回结果
3.易语言万能断点特征：FF55FC5F5E
4.通过单步调试到输入的密码位置比如222222222，1111111
5.对比汇编码，找到真实的验证码
6.cmp dword ptr ss:[ebp-0x1c], 0x0 较栈中某个位置的 4 字节数据 (32 位) 是否等于 0x0 (也就是 0)。
这条 cmp 指令 不会保存结果，它只是根据比较的结果来更新 EFLAGS (标志寄存器) 中的某些标志位。后续的条件跳转指令 (如 je, jne, jg, jl 等) 都是根据 EFLAGS 中的标志位来判断的。

6.mov eax.demo.xxxxxxxx 赋值地址或数据
xxxxxxxxxxxxxxxxxxxxxxxxxx 需要补齐的代码
xxxxxxxxxxxxxxxxxxxxxxxxxx 需要补齐的代码
jmp 调回
在汇编中，通过 jmp 指令进行 Hook 时，通常会覆盖原始代码的一部分。为了保持程序的正确执行，需要补齐被覆盖的指令，否则可能导致程序崩溃或行为异常。

先找到网络连接失败位置，在一个个取反或者制空
004102C0 90 nop
00410249 /EB 6E jmp short 网页中间.xxxxx jmp
004101D5 /EB 6E jmp short 网页中间.xxxxx jmp
00410161 /EB 6E jmp short 网页中间.xxxxx jmp
0040FB06 90 nop

1.修改标题内容，通过字符串搜索没有找到，就通过内存方式查找
2.保存-右键到可执行文件–右键到保存-xxx版本.exe
3.如果通过静态编译无法修改标题
4.那需要用到drv劫持补丁工具
5.复制内存地址0047D679 和16进制数据42D5…
6.其中会用到黑月编译插件–指定编译模式–c/C++模式–会出现一个.drv文件

1.弹窗断点函数名是MessageBoxExA
2.易语言的核心支持库汇编内容
3.方法一修改默认值
4.通过nop关键代码

1.E盾独立密钥7E21FFCD，属于特征级别，类似于加盐
2.push 0x1F40 16进制端口，8000，也可以看到ip地址
3.通过ip转向本地的E盾服务端
4.发现请使用最新版本，这里就直接跳过把je改成jmp（无条件跳转）
5.QQ截图直接翻译这个工具不错（很久不用QQ了）

1.核盾网络验证 http 请求的方式
2.先查壳，发现是vmp加壳
3.字符串搜索能找到 appid 安全码 自定义码 版本号
4.创建窗口断点CreateWindowEx GetVersion 用于获取操作系统版本信息
5.找到关键码，通过字符串搜索，通过内存搜索

1.登陆失败，返回-401
2.卡密是32位的，到期时间，核心数据
3.下万能断点
4.空代码断，ctrl + b 查找字符串，输入00000000000…跳转
5.找一个空代码位置，把自定义的卡密复制进去并记录内存地址
6.继续下方空代码断，给eax赋值记录的内存地址
7.在需要修改汇编代码地方改成jmp（无条件跳转）
8.hook赋值完毕就jmp回源代码位置

1.CreateWindowExW创建窗口断点
2.取消断点–》到解码断

1.再次强调了一边一个jmp是6个字符，所以在hook的时候要补2行代码
2.其他内容基本和前几期视频差不多