一次PEDIY---修改Windows自带的calc.exe (Unable to read memory of debugged process......”错误提示)

转载 2011年12月30日 22:56:21
标 题: 【原创】一次PEDIY---修改Windows自带的calc.exe
作 者: stalker
时 间: 2008-07-08,11:06:15
链 接: http://bbs.pediy.com/showthread.php?t=68066

【文章标题】: 一次PEDIY---修改Windows自带的calc.exe
【文章作者】: stalker
【作者邮箱】: zhangke_1989@hotmail.com
【软件名称】: calc.exe
【下载地址】: \windows\system32\calc.exe
【使用工具】: OD
【操作平台】: Windows XP Sp2
【作者声明】: 只是感兴趣,没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
【详细过程】
  本人对PEDIY比较感兴趣,最近瞄上了calc.exe,于是diy之
  我的想法是,在计算之后,按下=号键,首先显示我的ID,然后再显示计算结果
  首先我们要找到消息处理函数,这样才能找到按下=号键之后执行的代码
  怎么找呢?首先我想到的是下202消息断点,在OD中运行calc.exe
  点"W"
  可以看到如图所示的信息

名称:  shot1.GIF 查看次数: 1613 文件大小:  13.2 KB

  可以看到WinProc处是空的,此时直接下消息断点的话会下在ClsProc上,OD将会报错
  这个方法不行,就换个思路吧
  我们可以看到,在ID一栏,=号的ID值为70H
  我们知道程序在收到WM_COMMAND之后将会判断ID,这样应该存在一个分支结构
  于是在OD中点右键--查找--所有分支,可以看到如下信息

名称:  shot2.GIF 查看次数: 1608 文件大小:  20.4 KB

  70H就位于50H-13DH内
  在此处双击,然后往下查找
  01003348   >  A1 E84E0101   mov     eax, dword ptr [1014EE8]         ;  Case 70 of switch 01002F67
  上面就是=号键被按下之后将会跳来的地方,我们就可以在这个地方跳走,然后执行我们的代码,再跳回去执行原来的代码
  现在要做的就是随便找一个地方,写入我们想执行的代码
  我找的地方位于010136C0
  010136C0   > \60            pushad
  010136C1   .  68 6C6C0000   push    6C6C                             ;  此处压入的是
  010136C6   .  68 33322E64   push    642E3233                         ;  user32.dll的ASCII码
  010136CB   .  68 75736572   push    72657375                         ;  也可以找个地方直接写字符串
  010136D0   .  8BC4          mov     eax, esp
  010136D2   .  50            push    eax                              ; /FileName
  010136D3   .  FF15 24100001 call    dword ptr [<&KERNEL32.LoadLibrar>; \LoadLibraryA
  010136D9   .  68 646F7700   push    776F64                           ; 
  010136DE   .  68 6457696E   push    6E695764                         ; 
  010136E3   .  68 726F756E   push    6E756F72                         ; 
  010136E8   .  68 6F726567   push    6765726F
  010136ED   .  68 47657446   push    46746547                         ;  GetForeGroundWindow的ASCII码
  010136F2   .  8BDC          mov     ebx, esp
  010136F4   .  53            push    ebx                              ; /ProcNameOrOrdinal
  010136F5   .  50            push    eax                              ; |hModule
  010136F6   .  FF15 28100001 call    dword ptr [<&KERNEL32.GetProcAdd>; \GetProcAddress
  010136FC   .  FFD0          call    eax                              ;  调用GetForegroundWindow
  010136FE   .  50            push    eax                              ;  保存handle,因为后面刷新的时候还要使用
  010136FF   .  68 93010000   push    193                              ; /ControlID = 193 (403.)
  01013704   .  50            push    eax                              ; |hWnd
  01013705   .  FF15 70110001 call    dword ptr [<&USER32.GetDlgItem>] ; \GetDlgItem
  0101370B   .  6A 65         push    65
  0101370D   .  68 67006B00   push    6B0067
  01013712   .  68 61006E00   push    6E0061
  01013717   .  68 7A006800   push    68007A                           ;  我的名字的UNICODE码
  0101371C   .  8BDC          mov     ebx, esp
  0101371E   .  53            push    ebx                              ; /Text
  0101371F   .  50            push    eax                              ; |hWnd
  01013720   .  FF15 10110001 call    dword ptr [<&USER32.SetWindowTex>; \SetWindowTextW
  01013726   .  83C4 10       add     esp, 10
  01013729   .  58            pop     eax                              ;  弹出主Window的handle
  0101372A   .  50            push    eax                              ; /hWnd => 0068007A
  0101372B   .  FF15 34110001 call    dword ptr [<&USER32.UpdateWindow>; \UpdateWindow
  01013731   .  68 E8030000   push    3E8                              ; /Timeout = 1000. ms
  01013736   .  FF15 40100001 call    dword ptr [<&KERNEL32.Sleep>]    ; \Sleep
  0101373C   .  83C4 20       add     esp, 20
  0101373F   .  61            popad
  01013740   .  A1 E84E0101   mov     eax, dword ptr [1014EE8]
  01013745   .^ E9 03FCFEFF   jmp     0100334D
 
  在上面的过程中我使用了GetForegroundWindow来获得主Window的句柄,因为程序当前正在被我们操作
  所以应当是处于Topmost的(当然也不排除有特殊情况,主要是我没有找到更好的办法来获得这个handle,那位兄弟有更好的
  办法,希望能够告诉我)。
  之所以在SetWindowText之后要刷新窗口是因为sleep的时候窗口不会刷新
  尽管我们是在调用sleep之前就执行的SetWindowText,程序执行速度很快,还没有刷新Window就sleep了
  所以我们要主动刷新一次Window(感谢天杀大哥对我的提示)
 
  好了,整个过程差不多就是这样拉,现在运算之后按下=号键,就会先显示我的名字,然后再显示计算结果拉
  在此附上我修改过的calc.exe
 
mycalc.rar[谁下载?]
 
--------------------------------------------------------------------------------
【经验总结】
  sleep函数将会导致窗口刷新停止
 
--------------------------------------------------------------------------------
【版权声明】: 本文原创于看雪技术论坛, 转载请注明作者并保持文章的完整, 谢谢!

                                                       2008年07月08日 11:07:52

OllyDbg消息断点(unable to read memory of debugged process...)

在OllyDbg给窗口设置消息断点的时候遇到unable to read memory of debugged process...错误,无法设置xi...
  • hustd10
  • hustd10
  • 2015年12月25日 22:25
  • 1853

自己动手写操作系统之1:bochs初步使用

0x00 前言自己动手写操作系统,自然需要一个承载程序的运行环境,这一章记录我使用bochs遇到的坑,凌晨十二点半才填完坑。这次记录的是使用bochs完整实现一个最简单的操作系统(其实根本不算操作系统...
  • zhaodedong
  • zhaodedong
  • 2016年04月07日 00:59
  • 3617

LINUX时间管理

LINUX时间管理 时间管理在内核中占有非常重要的地位。相对于事件驱动,内核中有大量的函数都是基于时间驱动的。内核必须管理系统的运行时间以及当前的日期和时间。 首先搞清楚RTC在kernel内的作...
  • JK198310
  • JK198310
  • 2013年09月05日 11:37
  • 840

lldb动态调试

LLDB动态调试 安装debugserver
  • HK_5788
  • HK_5788
  • 2016年09月06日 11:27
  • 2433

菜鸟玩云计算之十三:虚拟机迁移故障排除若干

菜鸟玩云计算之十三:虚拟机迁移故障排除若干今天把系统重装为Ubuntu 12.04.3LTS,然后把虚拟机迁移回来。出现若干错误。现把解决方法记录如下:1)运行下面语句定义虚拟机:$ sudo vir...
  • cheungmine
  • cheungmine
  • 2013年10月19日 16:50
  • 5149

解决"Windows系统自带共享代理软件导致的断网问题"

使用
  • sanqima
  • sanqima
  • 2014年08月11日 20:58
  • 2448

AndroidSDK安装SVN插件问题解决

工具版本信息: Eclipse4.2
  • randee_jia
  • randee_jia
  • 2014年10月17日 23:20
  • 5221

三个月修改密码真的就能提升信息安全么?

你有多久没有改过银行卡的密码了?假如银行让你三个月必须修改一次密码,而且新密码不能重复使用最近5次使用过的密码,你会不会疯掉?最近我实施的某个项目过程中,大量用户抱怨信息系统三个月更改账户密码的策略实...
  • pan_tian
  • pan_tian
  • 2015年09月30日 15:47
  • 2060

使用UNetbootin进行双系统安装 已经安装了win7 usb安装cent

我本来的系统已经安装了win7,现在我想要安装centos。 下面是CentOS6.5 64位的下载链接: http://mirrors.btte.net/centos/6.5/isos/x86_64...
  • ccssddnnbbookkee
  • ccssddnnbbookkee
  • 2014年03月13日 20:50
  • 2399

tp5改写跳转提示页面

大家都知道Tp框架一直以来的执行成功和失败的页面都不是特别的好看,不过这样也给了开发者一个不错的选择我们可以根据自己的喜好去改写这个跳转提示的页面 我使用的是Tp5框架,Tp5的跳转提示页面的改写和...
  • hpu_yly_bj
  • hpu_yly_bj
  • 2017年07月08日 23:27
  • 2522
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:一次PEDIY---修改Windows自带的calc.exe (Unable to read memory of debugged process......”错误提示)
举报原因:
原因补充:

(最多只允许输入30个字)