金盾2018SS加密視訊機器碼替換工具的分析過程一
阿新 • • 發佈：2018-11-15
最近空閒時，在網上下載到了一個加密視訊替換機器碼的工具，新增播放器後，填上機器碼生成新播放器就能實現替換。好奇用OD跟了下，記錄如下：
工具介面：
<ignore_js_op>
開始吧！
上OD(本站OD下載地址：
| 加強版OD過強殼SE&VMP |
)，載入生成器
<ignore_js_op>
從區段看，是沒加殼的一個程式。
接著我們進入TEXT記憶體段支找字串吧
<ignore_js_op>
<ignore_js_op>
前面igpg添寫好播放器後，點生成，會提示“新的播放器生成成功”。找到該字串後，雙擊進入彙編視窗找到函式開頭下斷。
<ignore_js_op>
<ignore_js_op>
F9執行程式，新增播放器，點選生成，OD斷在了程式首。
<ignore_js_op>
接著就是F8往下走。。。。。。。。。。。。。。。。。。。。。
該處判斷播放器路徑是否為空：
<ignore_js_op>
該處判斷機器碼是否為14位：
<ignore_js_op>
下面它在做資源釋放
它的資源名是:"LOADER"，我們用資源工具檢視下這個EXE檔案：
確實程式有這麼個資原始檔！
資源釋放後，申請了一塊記憶體空間來存放
我們繼續往下走。。。。。
後面的操作就是把機器碼寫入LOADER固定位置，在把播放器的內容也寫到LOADER後面就直接完成了。
總結：
這個功能還是相對簡單。
做的操作就是把整合到自身LOADER載入到記憶體，然後讀取到把要替換的機器碼寫入到固定位置，在把播放器寫到LOADER尾部就可以了。
真正替換機器碼的功能是在LOADER裡。下節在分析LOADER的對應功能！
金盾2018SS加密視訊機器碼替換工具的分析過程一
http://www.it0365.com/thread-23-1-1.html
(出處: IT資源社群)