- 博客(56)
- 收藏
- 关注
RSS订阅原创 关于OD配置
今开始看《加密与解密》 开OD的时候发现自己的OD样子很单调 以前用的郁金香OD则舒服的多（以前用的郁金香老卡 所以不用了） 所以想把背景字体配置转到刚下的OD中 调了半天 都没成功 其中耽搁了两个多小时 最后发现把郁金香OD的ollydbg.ini文件保存在新OD中 然后再在选项-界面设置-默认 这一栏里设定后 才终于成功 这么简单的事 忙了半晚上 。。。
2011-11-25 00:02:14
1030
原创 婚后小结
随着装修、 婚礼的结束 工作也应正式步入正轨了 现在需要好好总结下 罗列几件事情 作为提醒吧 1.新概念英语 1周背1课：为了将来可能的出国留学机会 2.加密与解密 每晚1小时：前几个月对外挂编写的了解 发现现在需要了解的不再是如何单纯滴写挂 而是破解游戏本身的驱动保护什么的3.机械知识 每天上班研究：工作不能放弃 业务能力急需提升 每天最基本加班半小时到1小时4.锻炼身体 每
2011-11-09 00:05:18
549
原创 深夜
学了这么多年 不如几个混得好的初中生 当年那么听话为的是什么 人家现在混得有头有脸 开300一捆的啤酒眼都不眨一下 哥顶着头上几根学习过度剩下的苦逼的毛孤独地喝酒唱歌 哥不服啊 看过行运一条龙里那个蛋挞王子何金水么 哥真的和他过去很像晚上 媳妇抱怨将来有孩子了父母房拆了父母安
2011-08-06 01:07:59
431
原创 随笔
一个多月没有更新了 不是不想 是没有办法再进行下去了 譬如过地下城与勇士的保护貌似就牵扯到VMP 这类东西必须还要学习PE文件格式 再把加密与解密这类书看完才行 不幸的是 没有现成教学视频的帮助 个人感觉将会花费太多时间在这方面 成与不成都是两说 工作可能会荒废 我只得放缓进度
2011-07-13 23:31:18
418
1
原创 Rolls-Royce你到底离我有多远？
Rolls-Royce你到底离我有多远？ 雅思6.0分以上发动机专业课程从头开始学习 约有十四门机械本专业基础课程重新学习如果每门课1个月搞定 算上英语 大约需要1年半时间 这还是天天不停地学习算上win32汇编与经济类知识还有车间机械工艺技术学习的共同进行 大约需要2年以上每年3月开始脱产训练 如果明年报名 那么离现在还有9个月
2011-06-04 12:10:00
415
原创 小结
<br />郁金香驱动翻录版已经看的七七八八了 大概了解了过驱动保护是怎么一回事 后面就是要用win32汇编写过驱动代码了 郁金香带我入了门 就像当年王爽的汇编语言一样 剩下的就是需要自己的努力了 最近状况比较多 工作的生活的有的没的搞得人心情很不好 呵呵 还是人的浮躁心理作怪啊 <br /> <br />因为这段时间老上看雪 发现了一个叫科锐培训的机构 手段比较强硬 强制重修 貌似是菜鸟进去 牛逼出来 很多人离职跑过去接受培训 说真的自己都有点心动了 可惜条件不允许啊 不过好像流出来一套C/C++视频 哥
2011-05-23 00:44:00
520
转载 看雪、aogo是个好地方
<br />学老罗win32汇编的人都会以下对这段宏产生疑问<br />;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>><br />; 将参数列表的顺序翻转<br />;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>><br />reverseArgs macro arglist:VARARG<br />
2011-05-20 00:56:00
754
转载 《浅析QQ炫舞6开挂》 研究了一晚上
<br />最近一直卡在用win32汇编hook NtOpenProcess函数这 主要是语言掌握的不够好 今天终于找到了个可能能解决目前问题的文章 与君共享<br />http://bbs.pediy.com/showthread.php?t=116205&highlight=VC<br />标 题: 【原创】浅析QQ炫舞6开挂【请求邀请码】<br />作 者:YangCoCol<br />时 间: 2010-07-04,19:57:12<br />链 接: http://bbs.pediy.com/sh
2011-05-17 01:02:00
1583
原创 困难重重啊
<br />在调用API函数的时候，函数原型也必须预先声明，否则，编译器会不认这个函数。invoke伪指令也无法检查参数个数。声明函数的格式是：<br />函数名 proto [距离] [语言] [参数1]：数据类型，[参数2]：数据类型，……<br />句中的proto是函数声明的伪指令，距离可以是NEAR，FAR，NEAR16，NEAR32，FAR16或FAR32，Win32中只有一个平坦的段，无所谓距离，所以在定义时是忽略的；语言类型就是.model那些类型，如果忽略，则使用.model定义的默认值。
2011-05-16 00:43:00
376
原创 知识漏洞
<br />1、如何自定义函数：<br />ExitProcess proto uExitCode：DWORD<br />上面一行是函数原型。函数原型会告诉编译器和链接器该函数的属性，这样在编译和链接时，编译器和链接器就会作相关的类型检查。 函数的原型定义如下： <br />FunctionName PROTO [ParameterName]：DataType，[ParameterName]：DataType，... <br />简言之，就是在函数名后加伪指令PROTO，再跟一串由逗号相隔的数据类型链表。在
2011-05-15 01:03:00
508
转载 呵呵
<br />每个安慰你挂科算什么的人最后都默默拿了奖学金， <br /><br />每个夸你肥嘟嘟的脸好可爱的人最后都瘦成了万人迷， <br /><br />每个在你面前说自己前途渺茫的人最后都身家过亿， <br /><br />只有你在满床的薯片袋和电脑荧光照射下淬炼成一朵SB 。。。
2011-05-14 10:40:00
315
转载 SSDT Hook的妙用－对抗ring0 inline hook
<br />*标题:【原创】SSDT Hook的妙用－对抗ring0 inline hook *<br />*作者:堕落天才 *<br />*日期:2007年3月10号 *<br />*声明:本文章的目的仅为技术交流讨论 *<br />*********************************************
2011-05-12 23:03:00
429
原创 createfile失败的原因
<br />提个问题 关于CreateFile的 应用层符号链接名定义为<br /><br />szSymbolicLinkName db '////.//SLINK1',0<br /> <br />invoke CreateFile,addr szSymbolicLinkName,GENERIC_READ + GENERIC_WRITE,0,NULL,OPEN_EXISTING,FILE_ATTRIBUTE_NORMAL,NULL<br />再调用GetLastError 返回错误53<br /
2011-05-01 00:51:00
6992
原创 简单的 控制台程序与驱动
<br />最近进展很慢 因为驱动是一个未曾涉及也未曾想过涉及的领域 加上win32驱动资料有限 所以学的稍微有点慢 还有单位制作平衡计分卡这类的企业文化方面的要求 搞得烦烦的 也算是心境方面的原因 还好 昨晚静了静心 突破了一点 ：当时不太理解为什么自己写的驱动无法卸载 现在明白了 要在入口函数处定义卸载子程序的入口地址 因为以前以为卸载由系统完成 没必要自己专门写个卸载子程序 其实不是这样的 哪怕你卸载子程序里什么都没有 也要写上 只要调用了卸载子程序 就基本成功地卸掉了由startservice函数开
2011-04-26 12:56:00
697
原创 汇编宏指令
<br />在学习驱动编程的过程中 总会遇到牛人们使用宏运算符 想想最初知道宏的时候还是在X86的教材中 好歹也摸爬滚打了也有不少时间 最终却忘得光光的 现在想起来唏嘘不已 <br /> <br />今天查了下书 复习了下部分宏运算符<br />%：在宏调用时，使用该运算符能把其后表达式的结果作为实参替换，而非表达式自身<br />譬如某宏 <br />x1 MACRO A<br /> DB '&A',0DH,0AH,0<br /> ENDM<br /> <br />调用时 x1 %（1+1
2011-04-20 13:31:00
1150
转载 宏中 equ textequ的的一些用法
<br />txt equ <'Asm'> ; 可用 equ 定义字符串, 应使用 <> <br />; 用 equ 给函数重命名 <br />Msg equ MessageBox <br />Exit equ <ExitProcess><br />; 甚至代替整个表达式 <br />ShowMsg equ <invoke MessageBox, NULL, addr szMsg, addr szCaption, MB_OK> <br /><br />Msg textequ MessageBox <br
2011-04-18 20:03:00
1407
原创 省钱啊省钱
<br />发现淘宝上一些便宜的视频教程都能在各大网站下载到 譬如今天搜批处理视频教程 搜出来了很多华中红客基地标记的视频 哥很猥琐的跑到红客基地 申请个小号 搜索了一下 果然有 果断下载。。。省了3块钱 心情嘎嘎地
2011-04-10 21:58:00
475
原创 找NT!openprocess的当前和起源地址
<br />今天学了下找NT!openprocess的地址 当前地址和起源地址 为什么有当前地址和起源 因为如果被SSDT被hook了地址就发生变化 <br /> <br />第一个函数功能是找到OpenProcess在SSDT中的当前地址 并保存在szSSDT_NtOpenProcess中<br />第二个函数功能是找到OpenProcess在SSDT中的起源地址 并保存在szSSDT_OldNTOpenProcess中<br /> <br />szOldOpenProcess dw 'N','t','
2011-04-10 00:02:00
876
原创 建立设备、符号链接及初识SSDT
<br />这两天了解了下建立设备和符号链接这块的知识 改了下代码 熟悉一下<br /> <br />.386<br />.model flat, stdcall<br />option casemap:none<br />include w2k/ntstatus.inc<br />include w2k/ntddk.inc<br />include w2k/ntoskrnl.inc <br />include w2k/w2kundoc.inc<br />includelib ntoskrnl.lib<br
2011-04-07 23:08:00
584
原创 今天
在用windbg调试的时候 了解了以下指令：1.F8=F11=t 步入2.F10=p 步过3.shift+F11 跳出 返回上级call4.F5=g 运行5.u 汇编6.bp xxxx 下断点7.bl 查看断点8.bc 断点序号 删除断点9.bd 断点序号 禁用断点10.be 断点序号 启用断点 11.a xxxx 修改指令12.查看寄存器今天写了个最简单的驱动 然后又写了个驱动加载程序（没写卸载程序 因为怕麻烦O(∩_∩)O哈！） 源码如下：驱动程序：.386.model flat, stdca
2011-04-05 20:18:00
369
原创 关于驱动服务的小结
<br />这两天一直在看驱动方面的教程 看得不知东南西北但好像又不是完全找不到北 做个小结 把能看懂的贴出来 已进行必要的知识屏蔽 以后再详细理解记忆<br /> <br />1.计算机起动时 WinLogon进程启动SCM SCM扫描注册表中HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services键下<br />的相关内容如果服务或者驱动被标为自动启动的，那么启动它们并检测启动中是否出错。<br /><br />2.要启动SCM数据库中不存在的驱动程序，那
2011-04-04 20:14:00
574
原创 知识漏洞
<br />IMUL EDI,EDI,6B <br /><br />首先IMUL只能用于有符号数的乘法运算 <br /><br />6B(第3操作数)是乘数，EDI(第2操作数)里存放被乘数，运算结果放入EDI(第1操作数) <br /><br />注意:乘积是16位宽的有符号数
2011-04-04 00:16:00
556
转载 驱动程序简单入门
我们学习程序设计，都是从“Hello World”开始的，驱动程序也不例外，今天我就写一个驱动版的“Hello World”来热热身，目的希望大家能对驱动程序的基本框架有所了解。<br />驱动程序分为2类，一个是Kernel模式驱动，另一个是Windows模式驱动，2种模式本质是相同，但细节不同，本文介绍的是内核模式驱动和驱动程序的安装、使用。<br />驱动程序同普通的EXE，DLL一样，都属于PE文件，而且都有一个入口函数。但EXE中，入口函数是main()/WinMain()和Unicode的wma
2011-04-02 20:38:00
408
转载 Kmdkit的下载和安装
<br /> 2005-08-19 18:41:55 www.hackbase.com 来源：互联网在dos时代，程序可以访问所有的内存和端口，只要你想到的功能，只要付出足够的时间和精力,都可以实现。感觉自己用汇编写的程序就在dos时代，程序可以访问所有的内存和端口，只要你想到的功能，只要付出足够的时间和精力,都可以实现。感觉自己用汇编写的程序就像随时可以大闹天宫的孙悟空，发挥的空间很大，主要看你的能力。由于喜欢这种感觉，我在的dos下写过很多小程序，我写的《用hdcopy进行加密》曾在《电脑爱好者》杂
2011-04-01 23:56:00
1369
转载 学习VM上运行dnf（整理）
<br />选自http://bbs.pediy.com/showthread.php?t=129810&highlight=dnf<br />本文是对该文章进行一些整理加自己的思考和提问 以便在日后的学习中带着问题去学<br />1.dnf上HOOK了三个函数，无法再虚拟机上使用，游戏一旦加载驱动直接蓝屏。<br /> <br />2.系统蓝屏，调试器又收不到信号，同时用工具检测到，游戏的驱动挂钩了，用IDA检测到使用了KdDisableDebugger来禁用双机调试<br /><br />3.正常的思路
2011-04-01 23:12:00
7525
转载 汇编写驱动——光速入门
<br />标 题:作 者:yangbostar<br />时 间: 2011-03-18,16:51:55<br />链 接: http://bbs.pediy.com/showthread.php?t=131002<br /><br />用汇编写windows驱动非常简单，只要有汇编基础和用C写驱动的能力即可。有了这两样基础，我们距离用汇编写驱动，只剩下一层窗户纸，一戳就破。<br /><br />一、准备软件：Radasm <br /> 为了快速入门，好的IDE是降低入门难度的有效手段。R
2011-03-31 12:52:00
2362
原创 世界上最痛苦的事
<br />是你学了win32汇编 到头来发现讲驱动的少得可怜 而且不能一脉相承 无异于挥刀自宫习练葵花宝典小有成就后 才发现下半部是用火星文写的。。。
2011-03-31 00:19:00
569
原创 路漫漫其修远兮 吾将开始学驱动
<br />郁金香简单的编挂功能已经学会 大部分可用win32汇编实现 现在准备进入郁金香过驱动保护的学习 但是貌似是一个新的知识 下了个了罗云彬翻译的驱动教程 153页 不长 估计至少2个月才能明白个大概 <br /> <br />ps：以前玩cs的时候 老听人家说什么脚本脚本 脚本文件到底是是什么一直不能理解透 貌似不同的语言有不同的脚本文件编写方法 找了半天 找了个比较好的解答 虽然还不是特清楚 总算了解了个大概 现贴下面<br /> <br />脚本：写剧本的人，也叫故事构成。 脚本英文为Scrip
2011-03-30 23:04:00
639
转载 关于走路call的一些资料
<br />首先说说走路CALL的基本思想： q:<{% U$ <br />我们在窗口里点击某个二维坐标，游戏把它换算为三维坐标，然后游戏把算出的目的地坐标保存在一个临时的变量里， hb{ u' = <br />并将这个地址以参数形式传递给走路函数，然后人物就会走动起来，大概就是这么一个过程。 X=C1/ 4wU <br />这里的临时变量在重新选择人物前一般不会改变，所以我们可以利用这个特点，先用CE找到鼠标点击目的地的坐标地址， 4tx|=;@0 <br />然后用OD就可以找出我们
2011-03-27 13:48:00
5339
原创 X87指令
<br />X87指令<br />fild是将整数转化为长双精FP80压栈（压到st0） <br />fstp是将弹栈指令，将st0弹出。
2011-03-23 12:08:00
1511
原创 小结
<br />郁金香的中级篇已经完成翻译了 其中遇到了很多问题 譬如一开始的makefile文件的编写 到后来的呼出窗口 再到后面的遍历背包 使用药品等等 可以说每一步对我来说都是一个不小的坎 现在大部分已经被我解决了 存在的其他问题无伤大雅 暂可以忽略 这其中有过苦 有过甜 更多的是对自己现状的恨 好几次一连几天搞不懂某个知识点人马上就要暴走了 一想自己目前的状况 即使再不想学也能压制住烦躁看下去 想想自己一个非计算机专业上班族居然想凭借学过的一点点汇编知识就敢把VC++翻译成win32汇编 确实不可思
2011-03-22 00:21:00
398
原创 怪物id限制
<br />16:51<br />在热血江湖泫勃派这张地图中 怪物的ID是有限制的 如果在遍历的时候扫描范围过大 可能会出现 外挂程序不卡死 但貌似是在循环中丢失执行功能的情况 ID分布貌似是在0-11CA间<br /> <br />18:38<br />今天主要是写了一个比较浮点数大小的子程序 为了简化程序 只将精度控制在整数范围内<br />_fudianzhuanhuan proc<br />pushad<br /><br /> mov edi,ebx ;ebx用于底数部分 edi用于指
2011-03-20 16:51:00
491
原创 小发现
<br />12:31<br />如果外部有循环 在子程序中可以不停地显示消息框<br />如果在外部使用对话框代码 只会显示一次消息框<br /> <br />.while ecx>0<br />invoke messagebox ;大概这么个意思 就是调用消息框<br />call _zichengxu<br />dec ecx<br />.endw<br /> <br />_zichengxu proc<br />pushad<br />invoke messagebox<br /
2011-03-19 12:31:00
326
原创 真的好辛苦
<br />资料那么少 错误那么多 基础那么差 网速那么慢 登陆那么慢 游戏那么脆弱 你丫的就不能不崩溃么 你知道登陆一次要花多长时间么 我日你奶奶的<br /> <br />22:15<br /> invoke GetDlgItem,hWnd1,1 ；获得控件句柄<br /> mov hInstance1,eax ；保存<br /> invoke GetWindowTextLength,hInstance1
2011-03-17 19:38:00
313
原创 处女挂
<br />20:04<br />处女挂今天完成 毕竟是处女嘛 能玩的花样就比较少了 只能自动打怪和自动加血 而且有时候没打着怪就停到那 不再继续打了 碰到地形不好的地方也会卡到那 暂时没想到什么办法在这些情况下继续<br /> <br />先洗个澡去 回来再说O(∩_∩)O哈！<br /> <br />21：57<br />写程序尽量将功能模块化 方便调试 且不容易出错<br /> <br />23：43<br />可以将 call _daguai改为invoke SetTimer,NULL,NULL
2011-03-15 20:04:00
523
原创 这些写法要注意
<br />在用汇编编写代码的过程中 发现自己的功底还是差一点 主要是动手太少 借着这个机会 将不确定正确与否的代码写下来 与君共勉<br /> mov ebx,3D48420h<br /> mov ebx,dword ptr [ebx+11ach*4]<br /> mov ebx,dword ptr [ebx+8] 这三句都是正确的<br /> <br /> <br />.if [ebx+8] == 2eh 错误<br />.endif<br /> <br /> <br />
2011-03-14 21:38:00
421
原创 关于浮点数
<br />0:31<br />因为在判断怪物距离时发现只有用32位浮点数表示才能看出来 所以特意找了下32位数据转换成浮点数的资料<br /> <br />将最高地址字节的最高位编号为31 最低地址字节的最低位编号为0 则实数各个部分在这32个二进制位中的分布是这样的：31位是实数符号位 30位是指数符号位 29-23是指数位 22-0位是有效数字位 注意第一位有效数字不出现在内存中的 它总是“1”<br /> <br /> <br />如果要翻译的话会很麻烦 所以我希望找到表示数值的那一部分 其他的指数
2011-03-14 00:24:00
295
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人