VFP 愛用者社區

Ruey · 註冊時間: 2003-03-12 文章: 1698 來自: tunglo 第 1 樓

[轉貼]教你一步步搞定VFP&EXE加密全系列
http://218.56.144.166/myweb/china/vfp&exe-pro.htm
教你一步步搞定VFP&EXE加密全系列
（VFP&EXE 專業版篇）
FoxTools的推出，使得VFP&EXE的全系列成為虛設，VFP&EXE的作者又故技重施，以新的ID在VFP論壇攻擊FoxTools作者。本人實在看不過眼，故寫了手動反VFP&EXE的全系列文章，此為第一篇，將引導大家如何一步步手動搞定VFP&EXE專業版加密。
1、VFP&EXE專業版的簡介及工作原理
老王的招牌作品了，從1999年年底就開始招搖過市了。從原來的1.0發展到現在的2.X（呵呵，其實我也不清楚現在是什麼版本了），註冊費由原來的￥30到一年前的￥280。其工作原理為：將VFP的EXE全部當作資料來處理，採用Zlib 1.03壓縮引擎進行資料壓縮（相容於PKZIP，壓縮時所加的密碼為“SmtpPop”），運行時將加密後的資料自身還原，偷偷放到WINDOWS的一些隱含目錄，如“垃圾桶”裏面，主程序再來運行這個自身還原的程式，並對該程式進行鎖定，以防止別人把這個檔拷貝出來進行還原。
2、還原的原理及實現
基於VFP&EXE專業版這個工作原理，我們通常的做法是讓加密後的軟體運行，然後結束其主進程，剩下的工作就是將其自身還原的程式搞出來，稍微標準化處理一下，用反編譯工具進行反之。Aming對付VFP&EXE專業版的工具正是基於這一點進行設計的。
3、VFP&EXE的無奈
由於Aming寫了一系列自動還原VFP&EXE全系列的工具，所以老王也對Aming恨之入骨。VFP&EXE每個系列都對Aming的工具進行搜捕，通過FindWindowA、GetClassNameA取視窗標題、控制碼如“ThunderRT6FormDC”、“FoxKill.EXE -D -I –P”、“Microsoft 系統資訊”、“Windows 任務管理器”、“Unvfp”、“檔型加密終結者”、“vfpkill”、“Unvfp&Exe 1.5s”等。最可笑的是在Aming反NC的工具推出後，老王更是老羞成怒，狗急跳牆，竟然在程式運行時刻枚舉所有視窗和進程，對比是否有“ThunderRT6FormDC”、“Msvbvm60.dll”等來殺死正在運行的所有的VB軟體！
4、手動還原
使用工具：
（1）Unfoxall 2.1 加強版（為什麼叫加強版的？呵呵~~這不是原來老木頭所命名的，而是修改者所起的名字，這個“加強版”可以直接反編譯類Refox I+級以及各種進行代碼偏移過的VFP程式）
（2）ProcDump。用來殺死 VFP&EXE加密後程式的主程序和得到自身還原的VFP程式的所在。
（2）FreeSpy。這個東西幹什麼用的呢？用來修改視窗資訊的！通過反彙編加密的程式知道其通過查找標題來防止一些調試軟體和脫殼軟體，因此我們有必要對我們的ProcDump進行改造下。
（4）VB 5.0/6.0。啊，用來幹什麼呀？不要驚慌，拿來完成一項將VFP程式複製出來的小工作，只有一句話。：）
（5）UltraEdit 32。用來查看和編輯拷貝出來的檔，進行小處理。
OK，事不宜遲，Action！
目標：金友通用桑拿洗浴綜合業務管理系統 7.528
A、第一步，運行ProcDump，運行FreeSpy，對ProcDump的視窗標題進行更改，索性更改為VFP&EXE，呵呵~~~~~。

B、運行目的程式，刷新一下ProcDump的進程列表，發現多了兩個進程，其中jyht.exe就是我們要結束的程式，下面一個是我們要得到的自身還原的VFP程式。

OK，如下圖將它KILL掉。

C、殺掉主程序後，我們的VB5/6出動了，只需要做一個工具，寫一句程式：
FileCopy "c:\windows\history\　櫈惞\櫈惞\ddeaiid.exe", "c:\windows\desktop\jyht.exe"
D、呀，複製成功了，用UNFOXALL來處理它！天哪，UNFOXALL不能識別！

E、這時候，UltraEdit32出馬了！用UltraEdit32打開jyht.exe，移到文件尾巴，哦，原來檔被加入垃圾資訊了。最後四個位元組D8 00 00 00 代表了垃圾的長度，其影響著UNFOXALL的正常工作！一方面，我們可以通過刪除垃圾代碼來處理，另一方面，我們可以通過改動垃圾代碼的長度，讓UNFOXALL自動搜索VFP的特徵，來得到正確識別。

我們把D8 00 00 00 改為 D8 00 00 10，如圖

OK啦，UNFOXALL能正確識別了！

前面有個好大的垃圾文件啊，沒問題，把它的勾勾不要就是了。看看能否正確反編譯？嘻嘻，源代碼出來啦~~~~~

5、結束語。至此，我們講述了如何手動搞定VFP&EXE專業版。在下一回，我們接著將講述一步步搞定VFP&EXE企業版和VFP&EXENC。NC是什麼東東啊？呵呵，老王取了記憶體的縮寫（Nei Cun）~~很久沒搞這麼多東西了，睡覺去。