>>kb64, мы не обсуждаем взлом и неправомерное использоваание ПО
а это может быть не взломом, а одим из способов обойти работоспособность малвары, если знаний не хватает удалить малварный комплекс целиком!
kb64, у тебя там точно строчка по этому адресу или инструкция ?
Кажется догадываюсь, у тебя есть инструкция по 0xHHHHHH адресу и ты знаешь что там используется регистр ebx для занесения его значения в другой регистр и тебе хочется знать, что это за значение. Причем программно, так ?
Если да, то есть два способа:
1) поставить сплайсинг т.е. прыжок на свой код, потом выполнит родную и прыгнет за нее
2) поставить хардварныый брякпоинт, для этого специально вызвать багу скажем деление на нуль, поставить бряк и убрать багу, сказав при этом "работай дальше"
вот пример из моего проекта, по разгребанию того что делает порно-блокер:
| Код |
#include <windows.h>
HANDLE hFile;
/*----------------------------------------------------------------------------*/
extern "C" int __declspec(dllexport) api()
{
return 0;
}
/*----------------------------------------------------------------------------*/
void __declspec(naked) DumpMemSnapshot()
{
void* mem;
DWORD tmp;
__asm {
mov ecx,dword ptr[ebp+0x0C]
and ecx,0xFFFF0000
mov mem,ecx
pushad
}
WriteFile(hFile,mem,0xE0,&tmp,NULL);
__asm {
popad
push 0x00401212
push 0x00401276
ret
}
}
/*----------------------------------------------------------------------------*/
BOOL WINAPI DllMain( HINSTANCE hinstDLL, DWORD fdwReason, LPVOID lpReserved )
{
BYTE* HookMem;
DWORD HookOffs;
switch(fdwReason)
{
case DLL_PROCESS_ATTACH:
hFile = CreateFileA("vmmem.dmp",
GENERIC_WRITE,
FILE_SHARE_READ,
NULL,
CREATE_ALWAYS,
FILE_ATTRIBUTE_NORMAL,
0);
if(hFile==INVALID_HANDLE_VALUE)
return FALSE;
/* Set Hook */
HookOffs = (DWORD)(DumpMemSnapshot) - 0x0040120D - 5;
HookMem = (BYTE*)0x0040120D;
*(DWORD *)&HookMem[1] = HookOffs;
break;
}
return TRUE;
}
|
|
)