一次PEDIY---修改Windows自带的calc.exe (Unable to read memory of debugged process......”错误提示)

转载 2011年12月30日 22:56:21
标 题: 【原创】一次PEDIY---修改Windows自带的calc.exe
作 者: stalker
时 间: 2008-07-08,11:06:15
链 接: http://bbs.pediy.com/showthread.php?t=68066

【文章标题】: 一次PEDIY---修改Windows自带的calc.exe
【文章作者】: stalker
【作者邮箱】: zhangke_1989@hotmail.com
【软件名称】: calc.exe
【下载地址】: \windows\system32\calc.exe
【使用工具】: OD
【操作平台】: Windows XP Sp2
【作者声明】: 只是感兴趣,没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
【详细过程】
  本人对PEDIY比较感兴趣,最近瞄上了calc.exe,于是diy之
  我的想法是,在计算之后,按下=号键,首先显示我的ID,然后再显示计算结果
  首先我们要找到消息处理函数,这样才能找到按下=号键之后执行的代码
  怎么找呢?首先我想到的是下202消息断点,在OD中运行calc.exe
  点"W"
  可以看到如图所示的信息

名称:  shot1.GIF 查看次数: 1613 文件大小:  13.2 KB

  可以看到WinProc处是空的,此时直接下消息断点的话会下在ClsProc上,OD将会报错
  这个方法不行,就换个思路吧
  我们可以看到,在ID一栏,=号的ID值为70H
  我们知道程序在收到WM_COMMAND之后将会判断ID,这样应该存在一个分支结构
  于是在OD中点右键--查找--所有分支,可以看到如下信息

名称:  shot2.GIF 查看次数: 1608 文件大小:  20.4 KB

  70H就位于50H-13DH内
  在此处双击,然后往下查找
  01003348   >  A1 E84E0101   mov     eax, dword ptr [1014EE8]         ;  Case 70 of switch 01002F67
  上面就是=号键被按下之后将会跳来的地方,我们就可以在这个地方跳走,然后执行我们的代码,再跳回去执行原来的代码
  现在要做的就是随便找一个地方,写入我们想执行的代码
  我找的地方位于010136C0
  010136C0   > \60            pushad
  010136C1   .  68 6C6C0000   push    6C6C                             ;  此处压入的是
  010136C6   .  68 33322E64   push    642E3233                         ;  user32.dll的ASCII码
  010136CB   .  68 75736572   push    72657375                         ;  也可以找个地方直接写字符串
  010136D0   .  8BC4          mov     eax, esp
  010136D2   .  50            push    eax                              ; /FileName
  010136D3   .  FF15 24100001 call    dword ptr [<&KERNEL32.LoadLibrar>; \LoadLibraryA
  010136D9   .  68 646F7700   push    776F64                           ; 
  010136DE   .  68 6457696E   push    6E695764                         ; 
  010136E3   .  68 726F756E   push    6E756F72                         ; 
  010136E8   .  68 6F726567   push    6765726F
  010136ED   .  68 47657446   push    46746547                         ;  GetForeGroundWindow的ASCII码
  010136F2   .  8BDC          mov     ebx, esp
  010136F4   .  53            push    ebx                              ; /ProcNameOrOrdinal
  010136F5   .  50            push    eax                              ; |hModule
  010136F6   .  FF15 28100001 call    dword ptr [<&KERNEL32.GetProcAdd>; \GetProcAddress
  010136FC   .  FFD0          call    eax                              ;  调用GetForegroundWindow
  010136FE   .  50            push    eax                              ;  保存handle,因为后面刷新的时候还要使用
  010136FF   .  68 93010000   push    193                              ; /ControlID = 193 (403.)
  01013704   .  50            push    eax                              ; |hWnd
  01013705   .  FF15 70110001 call    dword ptr [<&USER32.GetDlgItem>] ; \GetDlgItem
  0101370B   .  6A 65         push    65
  0101370D   .  68 67006B00   push    6B0067
  01013712   .  68 61006E00   push    6E0061
  01013717   .  68 7A006800   push    68007A                           ;  我的名字的UNICODE码
  0101371C   .  8BDC          mov     ebx, esp
  0101371E   .  53            push    ebx                              ; /Text
  0101371F   .  50            push    eax                              ; |hWnd
  01013720   .  FF15 10110001 call    dword ptr [<&USER32.SetWindowTex>; \SetWindowTextW
  01013726   .  83C4 10       add     esp, 10
  01013729   .  58            pop     eax                              ;  弹出主Window的handle
  0101372A   .  50            push    eax                              ; /hWnd => 0068007A
  0101372B   .  FF15 34110001 call    dword ptr [<&USER32.UpdateWindow>; \UpdateWindow
  01013731   .  68 E8030000   push    3E8                              ; /Timeout = 1000. ms
  01013736   .  FF15 40100001 call    dword ptr [<&KERNEL32.Sleep>]    ; \Sleep
  0101373C   .  83C4 20       add     esp, 20
  0101373F   .  61            popad
  01013740   .  A1 E84E0101   mov     eax, dword ptr [1014EE8]
  01013745   .^ E9 03FCFEFF   jmp     0100334D
 
  在上面的过程中我使用了GetForegroundWindow来获得主Window的句柄,因为程序当前正在被我们操作
  所以应当是处于Topmost的(当然也不排除有特殊情况,主要是我没有找到更好的办法来获得这个handle,那位兄弟有更好的
  办法,希望能够告诉我)。
  之所以在SetWindowText之后要刷新窗口是因为sleep的时候窗口不会刷新
  尽管我们是在调用sleep之前就执行的SetWindowText,程序执行速度很快,还没有刷新Window就sleep了
  所以我们要主动刷新一次Window(感谢天杀大哥对我的提示)
 
  好了,整个过程差不多就是这样拉,现在运算之后按下=号键,就会先显示我的名字,然后再显示计算结果拉
  在此附上我修改过的calc.exe
 
mycalc.rar[谁下载?]
 
--------------------------------------------------------------------------------
【经验总结】
  sleep函数将会导致窗口刷新停止
 
--------------------------------------------------------------------------------
【版权声明】: 本文原创于看雪技术论坛, 转载请注明作者并保持文章的完整, 谢谢!

                                                       2008年07月08日 11:07:52

【Spark专场】Deep Dive: How Spark Uses Memory

当今,企业”上云”节奏正在加速,特别是在以人工智能技术为代表的新一波技术浪潮推动下,企业一方面通过云技术增强了自身的数据存储连接、计算以及智能应用能力;另一方面,利用基于云计算之上的大数据、人工智能等新技术,企业又可以以较小的成本、更高效地挖掘出快速提升企业业务的数据与方法,实现云、数、智的自然融合和协力发展。
  • 2017年06月12日 15:00

OllyDbg消息断点(unable to read memory of debugged process...)

在OllyDbg给窗口设置消息断点的时候遇到unable to read memory of debugged process...错误,无法设置xi...
  • hustd10
  • hustd10
  • 2015-12-25 22:25:59
  • 2069

一次PEDIY---修改Windows自带的calc.exe (Unable to read memory of debugged process......”错误提示)

标 题: 【原创】一次PEDIY---修改Windows自带的calc.exe 作 者: stalker 时 间: 2008-07-08,11:06:15 链 接: http://bbs.ped...
  • kendyhj9999
  • kendyhj9999
  • 2011-12-30 22:56:21
  • 1856

read ahead memory

linux为了提高I/O的性能,尽量减少I/O请求的发送,主要是为了提高进程顺序读取文件的效率,提供了read ahead的机制,如果linux判断一个进程在顺序读取文件,那么它会提前读取进程所需文件...
  • longxj04
  • longxj04
  • 2009-03-03 11:31:00
  • 1731

process and memory 对控制台输入echo hello的流程简单剖析

int pid = fork(); if(pid > 0){ printf("parent: child=%d\n", pid); pid = wait(); printf("child %d...
  • gacmy
  • gacmy
  • 2015-08-07 22:07:06
  • 807

iOS平台的应用程序调试与分析

本文阐述如何在iOS平台上对应用程序进行调试与分析,旨在指导新手分析iOS程序,高手请无视。内容包括软件硬件的准备、代码的解密、符号信息的获取、用gdb调试等,最后以京东LeBook为例子进行演示。 ...
  • u011025344
  • u011025344
  • 2014-07-20 17:47:38
  • 495

VS调试查看QString

vs2010\Common7\Packages\Debugger中[AutoExpand]下面,添加如下描述 ;Trolltech Qt QString=unicode,su> len=len,u...
  • yuan1164345228
  • yuan1164345228
  • 2018-02-04 13:07:27
  • 173

OllyDBG 入门系列<4> 内存断点

标 题: 【原创】OllyDBG 入门系列(四)-内存断点 作 者: CCDebuger 时 间: 2006-02-15,23:22:00 链 接: http://bbs.pediy.com/s...
  • moonhillcity
  • moonhillcity
  • 2016-11-04 22:28:40
  • 564

一次PEDIY---修改Windows自带的calc.exe (OD Switch大法)

转自看雪论坛:http://bbs.pediy.com/thread-68066.htm 作者:stalker 【文章标题】: 一次PEDIY---修改Windows自带的calc.exe 【文章作...
  • lixiangminghate
  • lixiangminghate
  • 2017-05-16 15:43:29
  • 662

【原创】关于如何查找按钮事件(致新手)

【文章标题】: 关于如何查找按钮事件(致新手) 【文章作者】: stalker 【作者邮箱】: zhangke_1989 at hotmail dot com 【作者声明】: 只是感兴趣,没有其...
  • zhangmiaoping23
  • zhangmiaoping23
  • 2014-03-13 17:44:35
  • 1634
收藏助手
不良信息举报
您举报文章:一次PEDIY---修改Windows自带的calc.exe (Unable to read memory of debugged process......”错误提示)
举报原因:
原因补充:

(最多只允许输入30个字)