pecmd-decrypt
解密 mdyblog 版 pecmd 加密的 pecmd.ini。
原理
其实准确说“解密”无关,目前之所以没有破解只是因为算法没公开,我也没有去研究它的算法,
反正不管怎样,最后肯定要解出来才能执行,所以我在执行的地方替换了它调用的系统 API,从 API 参数里面拿到了解出来的脚本。
pecmd 执行每一行的时候会将其转为 unicode 编码,会调用 MultiByteToWideChar 这个 API,只要 hook 这个 API,从 lpMultiByteStr 参数得到传入的多字节字符串,过滤一下就可以得到原始内容。
用 可以很方便地达到这个目的:
编写一个 dll,实现一个新的 MultiByteToWideChar 函数,在 DllMain 里面使用 detours 替换原来的函数;
编写一个加载器,使用 detours 启动 pecmd 进
2022-09-06 01:53:45
181KB
C++
1