码迷,mamicode.com
首页 > 其他好文 > 详细

OD调试4----去除nag窗口的几种方法

时间:2015-04-07 23:02:08      阅读:233      评论:0      收藏:0      [点我收藏+]

标签:

本实验所用程序如下,一个主窗口,两个nag窗口。nag本意为烦人唠叨的意思。在这里指的是不断弹出来窗口,例如注册窗口。

技术分享技术分享技术分享

这里第一个和第三个为烦人的nag窗口,这里我们要将它去除。接下来就介绍四种方法,为了简单就以第一个窗口为例。

加载程序,(F8)运行。到达一个je跳转,下面包含着是第一个对话框的内容。

技术分享

再来看下运行信息提示:

技术分享

分析下,这是一个je跳转。但跳转没有实现,所以就会执行到第一个对话框。只需我们修改下je这个地方就行了。

第一种方法。

修改标志位寄存器。对于je来说,当z标志位为1时跳转,那我们就把z标志位的0修改为1.让它跳转。

技术分享

这样就跳过第一个nag窗口。但要注意的是修改标志位的话不会保存为可执行文件。可以在调试程序时用。

第二种方法:修改je为jmp.jmp命令为强制跳转。点击右键,汇编修改je为jmp。

技术分享

 

效果为技术分享跳过对话框。

第三种方法:修改句柄的拥有者hOwner.什么意思呢?通俗点来讲就是这个对话框是属于谁的。例如在A对话框中调用了B对话框,A就是父对话框,B就是子对话框。就是这个道理。父进程一旦被消灭,子进程也就不存在了。我们来分析这里的情况。

技术分享

这里的push  0,howner为空。表示没有父句柄,它是控制的,没有老爸。我们只需要把把push 处的0 修改为1,就行了。这里的1不可能是一个地址,不可能是一个句柄的值,所以在这里什么也不做。看效果。

技术分享

同样也能跳过第一个nag窗口。

第四种方法:修改入口点,这个就有点难了。要牵扯到pe文件头,在这里就简单说一下,具体的可以上网查有关的资料。

技术分享

技术分享

真正有用的地方就是节区,前面很多都是无关的。下面我们来分析这个程序,程序的入口点在00401000.

技术分享

在个getmodulehandlea运行后,eax寄存器显示的地址是004000.

技术分享

 可以和入口点的地址比较。401000-40000=1000。这1000个字节存放的就是PE文件头,从401000之后就是节区了,也就是程序代码的位置。那我们把入口地址改为401024.那样就跳过了第一个对话框。那么怎么改呢很简单,点下M(技术分享).

我们看到内存分布图

技术分享

双击PE文件头。进入

技术分享

找到入口点的位置,004000E8,回到CPU界面,在内存地址窗口,输入004000E8.

技术分享可以看到入口地址就是1000,  00 10 00 00这是在内存中的排列顺序,低地址在前,高地址在后。在我们看来顺序应该是00001000,那我们想让入口地址为00001024,就应该24 10 00 00.这样就知道该怎么修改了。点击右键,修改。技术分享,接下来的就是保存了。

     到这里几种方法已经介绍完了。对于第三个nag.也是这个道理,这里就不详细叙述了。

实验软件下载:www.fishc.com

 

OD调试4----去除nag窗口的几种方法

标签:

原文地址:http://www.cnblogs.com/xiao-zhang/p/4398743.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!