内存注册机原理

【文章标题】: 内存注册机原理

【文章作者】: 125096

【软件名称】: Memory.exe

【加壳方式】: 无

【编写语言】: vs2008

【使用工具】: vs2008,OllyDbg

【操作平台】: 盗版WIN7操作系统

【作者声明】: 只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教!

---------------------------------------------------------------------------------------------------------------------------------------------------------

【详细过程】

  由于工作需要，需要实现这个功能，读取A进程执行到00401000地址后取eax的值

   群里和好友上问了许多人，这个貌似类似内存注册机的东西可以实现，以前也是一直有用过，但是不知道是咋实现的。反正就是找到地址，比如00401000，然后是寄存器eax或者ebx之类的，点击注册按钮，注册码就会自动出现。看起来很神奇的样子。

  在网上找到一个内存注册机的软件，刚好里面有带例子，ollydbg反汇编了下，是asm编写的。看起来就方便多了。基本都是调用api的无编译器产生的垃圾信息。基本实现原理是这样的过程QQ群：193541151

  1.暂停状态创建A进程

  2.读取A进程00401000的2个字节，修改为0xFEEB，也就是jmp到自身地址

  3.激活进程执行状态

  4.获取A进程的执行状态

  5.如果A进程执行到00401000处，就读取eax的值，然后还原修改的地方。使A进程能正常执行

  下面是vs2008下编译通过的代码

#include <windows.h>
 
#include <tchar.h>
 

TCHAR strname[]=TEXT("a123.exe");  //程序名称
 
DWORD address=0x4113fd;            //读取地址
 
WORD  ebfe=0xFEEB;                 //程序暂停在此
 

int main (void)
 
{
 
//创建进程
 
STARTUPINFOA psiStartInfo={0};     //STARTUPINFOW  //UNICODE
 
PROCESS_INFORMATION pProcInfo={0};
 
CreateProcess(strname,NULL,NULL,NULL,NULL,CREATE_SUSPENDED,NULL,NULL,&psiStartInfo,&pProcInfo);
 

//进程创建成功
 
if (pProcInfo.hProcess)
 
{
 
        TCHAR strbuff[32]={0};LPDWORD lpNumberOfBytesRead=NULL;WORD source=0;
 
        //读取地址下的值保存
 
        if (!ReadProcessMemory(pProcInfo.hProcess,(LPVOID)address,&source,sizeof(source),lpNumberOfBytesRead))return false;
 
        //写入字节EBFE
 
        if (WriteProcessMemory(pProcInfo.hProcess,(LPVOID)address,&ebfe,2,NULL))
 
        {
 
                //激活线程
 
           ResumeThread(pProcInfo.hThread);
 
           CONTEXT context={0};
 
           context.ContextFlags=CONTEXT_CONTROL | CONTEXT_INTEGER | CONTEXT_SEGMENTS;
 
           while (true)
 
           {
 
                   //获取进程执行状态
 
                   GetThreadContext(pProcInfo.hThread,&context);
 
                   if (context.Eip==address)
 
                   {
 
                           //读内存
 
                           if (ReadProcessMemory(pProcInfo.hProcess,(LPVOID)context.Eax,strbuff,sizeof(strbuff),lpNumberOfBytesRead))
 
                           {
 
                                   MessageBox(NULL,strbuff,NULL,MB_OK);
 
                                   WriteProcessMemory(pProcInfo.hProcess,(LPVOID)address,&source,2,NULL);//还原A进程代码
 
                           }
 
                   }
 
           } 
        }
 
}
 
return 0;
 
}