用特征码秒杀各程序语言按钮事件

先转载：

• 标 题：用特征码秒杀各程序语言按钮事件
• 作 者：hellotong
• 时 间：2010-10-30 13:43:54
  
• 链 接：http://bbs.pediy.com/showthread.php?t=123811

   

  作者：小童
  工具：OllyDbg、Delphi程序一个、易语言程序一个、MFC程序一个
  -----------------------------------------------------------------------------
  -----------------------------------------------------------------------------
  《《《Delphi程序》》》
  特征码：FF 93 20 01 00 00 5B C3 53
  -----------------------------------------------------------------------------
  《《《易语言程序》》》
  特征码：FF 55 FC 5F 5E 89 5D F4
  特征码来源：krnln.fnr
  -----------------------------------------------------------------------------
  《《《MFC程序》》》
  RELEASE
  特征码：FF 55 14 EB 7F FF 75 0C
  特征码来源：MFC42.DLL
  DEBUG
  特征码：FF 55 FC E9 48 04 00 00 33 C9
  特征码来源：MFC42D.DLL
  -----------------------------------------------------------------------------
  使用方法：OD载入程序---F9运行---Alt+M打开内存镜像---Ctrl+B搜索特征码---Ctrl+G跳到找到的地址---F2下断---点击按钮---断下后F7进入CALL（此处即为事件代码）
  说明：对于Delphi程序和易语言程序，根据目前测试的情况来看，都是一击必杀，例无虚发
  　　　对于MFC程序只取了VC++6.0的特征码
  　　　易语言程序下断后，可能界面没出来就断下了，这是因为断下的是[启动窗口创建完毕事件]或[时钟周期事件]
  -----------------------------------------------------------------------------
  -----------------------------------------------------------------------------
  欢迎暴力测试，有问题楼下说明！

• 标 题：答复
• 作 者：guxinyi
• 时 间：2010-12-25 00:53:10

   

  OD中的断点:
  
  vc
  bp IsDialogMessageA [[esp+8]]==控件的句柄 && [[esp+8]+4]==WM_LBUTTONUP
  
  VB, Delphi, CBuilder
  bp CallWindowProcA [esp+8]==控件的句柄 && [esp+0c]==WM_LBUTTONUP

   

   

   

  自己总结的特征:

  VC6.0 

  peid  Microsoft Visual C++ 5.0[debug]

  MFC42D.dll

  静态编译也可以

  特征值： （8B 4D 08) FF 55 FC E9 48 04 00 00 (33 C9)

   

  MFC42.dll(6.02.8081.0版本）

  特征值 :   FF 55 14 EB 7F FF 75 0C

   

   MFC42.dll(6.06.8063.0版本,win7 系统）

  特征值： (E9 73 F4 FF FF) FF 55 14 (5F 8B C6 5E)

   

   

• vc 2008

  peid Microsoft Visucal C++ 8.0 [DEBUG]

  MFC90D.DLL

  静态编译也可以

  特征值:(8B 4D 08) FF 55 F8 E9 (13 04 00 00)

   

   

  Peid Microsft Visual Studio.Net 2005--2008-> Microsoft Corporation *

  MFC90.DLL

  特征值:(FF 24 95 02 95 66 78) FF D0 EB (7B)

  静态编译情况

  特征值: (FF 24 85 78 94 40 00) FF 55 14 E9 (B1 00 00 00)

   

   从消息眏射机制入手

   { WM_COMMAND, (WORD)wNotifyCode, (WORD)id, (WORD)id, AfxSigCmd_v, \
  (static_cast< AFX_PMSG > (memberFxn)) }, 

   

   IDA搜索（ALT+B):  11 01 ?? ?? ?? ?? ?? ?? EF 03 00 00 EF 03 00 00