小白学破解 发表于 2017-12-5 10:54

[PEtools] 【ASLR关闭工具】OD载入每次入口地址都不一样怎么办？就这么办。

【背景】
无需多言，戳这里（有图）、这里（无图）还有这里（无图）。

【出招】

[*]撸代码，做工具
洋洋洒洒数千言，核心代码就两行（雾
https://attach.52pojie.cn/forum/201506/25/224052so10n4u0x1nxuovo.png
https://attach.52pojie.cn/forum/201506/25/222604w8zn0a1xpxpux282.png
[*]exe拖进来
https://attach.52pojie.cn/forum/201506/25/222601diww3iyihsvwtgsw.png
[*]完成
https://attach.52pojie.cn/forum/201506/25/222601zgl79phr7kps6s80.png
[*]开心OD~

【效果】
任你虐ta千百遍，载入基址永不变（逃
https://attach.52pojie.cn/forum/201506/25/222603b6y134glcc31gc1x.jpg

【原理】

[*]百度这句话，看第一个结果（目前我看到还是第一个）：
XP下OD载入exe文件基地址是400000，而WIN7里每次都不一样。不知道为什么？
[*]搜索 ASLR 或 Address Space Layout Randomization
[*]直观感受：用 Beyond Compare 对比改动前后的文件。

【上菜】
https://static.52pojie.cn/static/image/filetype/unknown.gif aslr_disabler.7z (7.74 KB, 下载次数: 679)
【备注】

[*]目前只处理了 32bit exe, 其它均未列入日程。
[*]曾经英语垫底生，你懂。

【补充】

[*]如 @Hmily前辈所说, Windows XP 之后的系统（内核版本 NT 6+）都默认打开了 ASLR功能，可以在注册表中添加开关禁用。
[*]关闭 ASLR 可参考程序清单 1，重新启用可参考程序清单 2（均来自搜索，未测试）（注：毕竟是保护系统安全的功能，小心取舍）。
程序清单 1
纯文本查看 复制代码
?

1
2
3
4
Windows Registry Editor Version 5.00


"MoveImages"=dword:00000000






程序清单 2
纯文本查看 复制代码
?

1
2
3
4
Windows Registry Editor Version 5.00


"MoveImages"=-



[*]MFC 实在荒废太久，虽记得被坑过，却已忘记怎么操作注册表了，待重温后再行更新。

【后记】

[*]昨晚花了几个小时重温丢了两年多的MFC
[*]折腾到夜里2+才搞定关机
[*]今天早上7+惊醒
[*]发现放在床边的两台手机失踪
[*]窗户防盗网毁坏
[*]我愿天下窃贼皆横死
[*]就这样。



alone 发表于 2017-12-6 14:06

强烈支持楼主ing……

pvrdxwsqhl 发表于 2017-12-6 15:05

不求风骚惊天下，但求猥琐动世人！

zhyaizhy132 发表于 2017-12-18 15:08

我很赞同！

LANLAN88 发表于 2017-12-20 03:13

你很6666666

下下下 发表于 2017-12-20 17:30

我的一楼总是献给度娘

暗里着迷、 发表于 2018-1-3 17:10

。再支持一下，精华帖索引必须收藏了

JczaEZNv 发表于 2018-1-5 02:40

哥辛苦了！

ch_awen 发表于 2018-1-5 15:27

一入贴吧深似水，从此节操是路人

未央不见 发表于 2018-1-5 18:14


后排围观一下~
页: [1]
查看完整版本: [PEtools] 【ASLR关闭工具】OD载入每次入口地址都不一样怎么办？就这么办。