项目实战1（30小时精通C++和外挂实战）
- 01-MFC1-图标
- 02-MFC2-按钮、调试、打开网页
- 05-MFC5-checkbox及按钮绑定对象
- 06--文件格式、OD序列号
- 08-暴力破解
- 09-CE
- 10-秒杀僵尸
01-MFC1-图标
这个外挂只针对植物大战僵尸游戏
开发这个外挂，首先要将界面即桌面程序做出来
外挂包含
外挂界面
事件处理（对我们的点击事件进行处理）
跨进程访问（外挂程序和植物大战僵尸是两个不同进程，要控制需要跨进程访问）
新建一个PVZCheater的MFC项目，弹出框后，要选择基于对话框，然后点击完成。
02-MFC2-按钮、调试、打开网页
工具箱
按钮button拖到对话框上，先不要双击，要在名字更改后再双击。
一旦双击会自动生成很多代码
点击button在属性—外观–caption中改表面文字
Dlg是对话框类
Dlg.h和Dlg.cpp分贝是类的声明和实现分离
我们点击按钮需要在Dlg.cpp对应的函数处理，需要绑定按钮的I，这个ID会在resource这个文件中注册一个文件，生成一个id号。
在Dlg.cpp中有个BEGIN_MESSAGE_MAP函数，此处就是用来绑定id的，
在MFC中使用字符串需要使用cstring包装一下才可以。
对话框的父类的父类是CWND，是可以使用messagebox的。
上面给斜线的目的是下面的属于宏，宏就是左侧的东西替代右侧的东西，两者相互等价，其中变量的要用_VA_ARGS_，代表将来传进来的多个参数
#define log(fmt,...)\CString str; \str.Format(CString(fmt), __VA_ARGS__); \AfxMessageBox(str);
我们可以右击转到定义，看其父类
下面参数很复杂
ShellExecuteW(
_In_opt_ HWND hwnd,_In_opt_ LPCWSTR lpOperation,_In_ LPCWSTR lpFile,
_In_opt_ LPCWSTR lpParameters,
_In_opt_ LPCWSTR lpDirectory,_In_ INT nShowCmd); #正常显示就行
LPCWSTR 表示字符串
我们只传必要的参数就行了
afx_msg void OnBnClickedBtnCource();
afx_msg这是个标识，用来标识后面为事件处理函数。
05-MFC5-checkbox及按钮绑定对象
手动绑定事件，id，声明，实现太麻烦，我们还有一种自动绑定的方式
第一种自动：
Checkbox是可以打钩的东西，我们想要监听它的点击事件
我们可以右击Checkbox，有个添加事件处理程序
BN_CLICKED单击事件
Bn_doubleclick是双击事件
这个我们要选择单击事件，基本上它默认就选好了，不用自己选，然后点击添加编辑它就帮你做好了
它做了哪些事，
1，首先在dlg.h声明了一个函数，它给了一个public，个人认为没必要public，这个是内部使用的
2，在dlg.cpp中实现了这个函数
3，在dlg.cpp中的BEGIN_MESSAGE_MAP(有个绑定操作，在最上方应该
第二种自动：
直接双击自动生成函数
这个checkbox勾选做一件事，不勾选这件事要被取消
我们要判断此时是否有无勾选
在MFC中，checkbox对应类型是Cbutton，它就是button所以有buttonid
#define log(fmt,...)\CString str; \str.Format(CString(fmt), __VA_ARGS__); \AfxMessageBox(str);第一种判断checkbox是否被勾选的方式
void CPVZCheaterDlg::OnBnClickedKill()
{// TODO: 在此添加控件通知处理程序代码BOOL checked = IsDlgButtonChecked(IDC_KILL);if (checked){log("勾选");}else{log("没有勾选");}
}
在MFC中界面上能看到的东西最终都是继承于CWND
第二种是通过获得指针来判断的方式
（通过id拿到按钮函数，再开按钮的check有没有勾选）
void CPVZCheaterDlg::OnBnClickedKill()
{// TODO: 在此添加控件通知处理程序代码//BOOL checked = IsDlgButtonChecked(IDC_KILL);CButton *button =(CButton *) GetDlgItem(IDC_KILL);if (button->GetCheck()){log("勾选");}else{log("没有勾选");}
}
还有第三种方法，使用变量的方式而不是指针的方式
将其最为一个对象，操作此对象就相当于操作此按钮
将其变为成员变量是非常重要的一步，在后面开发中会使用到。
1，在dlg界面，右击checkbox添加变量，这是个比较高级的做法
2，类型默认控件，变量名称m_bnsun,访问private即可（子类也不允许访问），若子类允许访问就protect
3，注释无限阳光，点击完成即可
首先在对话框头文件中有CButton m_bnSun;
接着在对话框c++文件有
void CPVZCheaterDlg::DoDataExchange(CDataExchange* pDX)
{CDialogEx::DoDataExchange(pDX);DDX_Control(pDX, IDC_SUN, m_bnSun);这就是变量与按钮的绑定DDX_Control(pDX, IDC_KILL, m_bnKill);
}
我们在双击按钮下的函数中可以输入
void CPVZCheaterDlg::OnBnClickedKill()
{//BOOL checked = IsDlgButtonChecked(IDC_KILL);/*CButton *button =(CButton *) GetDlgItem(IDC_KILL);if (button->GetCheck()){log("勾选");}else{log("没有勾选");}*/if (m_bnKill.GetCheck()){log("勾选");}else{log("没有勾选");}
}
这样直接调用对象成员变量就方便多了，为我们后面开发外挂打下了基础
现在界面基本上没什么问题了
事件绑定和成员变量的绑定位置不同
成员变量的绑定是在void CAboutDlg::DoDataExchange(CDataExchange* pDX)绑定的
很多东西都是大同小异，界面开发逻辑是差不多的
我们精通好一个平台转到其他平台就很轻松，只是写法不太一样
06–文件格式、OD序列号
我们要先去考虑怎么破解软件，再去思索怎么做外挂
Windows平台文件是PE文件格式，我们想要破解的应该是exe文件，植物大战僵尸的代码基本在exe文件中，我们双击就能启动，这是windows平台的可执行文件
三大平台的可执行文件格式：
1.windows：PE
2.Linux：ELF
3.Mac（iOS）：mach-c
这些文件格式决定了什么
我们知道一个程序运行起来在内存中分很多段的
代码段、数据段、堆空间、栈空间，，文件格式是将这段分配位置的
不知道文件格式就不知道代码在哪个地方，不知道代码在哪个地方就无法去破解
要想在软件破解深入下去的话必须了解文件格式，不了解PE格式很多东西就无法去做
今天软件破解比较简单暂时不用深入了解PE格式
破解windows程序，需要了解一些windowsAPI
我们先从简单的入手
Crackme.Exe
怎么去破解
这个软件所有代码都在exe文件里面，那我可以看其代码有什么东西，看其汇编代码。
我们拿到exe肯定是看不到其C语言或c++代码的，因为它已经编译完了，但是我们知道里面放的是机器码，机器码和汇编码是一一对应的，我可以用某些软件将其翻译成汇编代码
有了汇编代码就能分析它的执行逻辑了。
一旦分析其执行逻辑可以找到其判断序列号的代码。
但我们怎么将其翻译成汇编，怎么知道哪些是数据段，哪些是代码段，自己的话需要懂PE格式
我们使用OD就能瞬间分析代码段在哪里，直接将代码段翻译成汇编
如果代码很多，使用OD
我们要是很懂windows开发的话，在breakpoint可以打一个断点，我们点击错误时会弹出序列号不对，这就调用了messagebox这个，我们可以在此位置打断点，只要调用messagebox就弹框停止
带条件的跳转jnz，，jmz
If(){}else{}
004010BD . 52 push edx ; /String2 = ""
004010BE . 50 push eax ; |String1 = FFFFFFFF ???
004010BF . FF15 04204000 call dword ptr ds:[<&KERNEL32.lstrcmpA>] ; \lstrcmpA
004010C5 . 85C0 test eax,eax
004010C7 . 6A 00 push 0x0 ; /Style = MB_OK|MB_APPLMODAL
004010C9 . 75 1D jnz short CrackMe.004010E8 ; |
004010CB . 68 30304000 push CrackMe.00403030 ; |Title = "OK!"
004010D0 . 68 24304000 push CrackMe.00403024 ; |Text = "恭喜你！"
004010D5 . 6A 00 push 0x0 ; |hOwner = NULL
004010D7 . FF15 24204000 call dword ptr ds:[<&USER32.MessageBoxA>>; \MessageBoxA
004010DD . B8 01000000 mov eax,0x1
004010E2 . 83C4 14 add esp,0x14
004010E5 . C2 1000 retn 0x10
004010E8 > 68 1C304000 push CrackMe.0040301C ; |Title = "ERROR!"
004010ED . 68 00304000 push CrackMe.00403000 ; |Text = "序列号不对，重新再试一次！"
004010F2 . 6A 00 push 0x0 ; |hOwner = NULL
004010F4 . FF15 24204000 call dword ptr ds:[<&USER32.MessageBoxA>>; \MessageBoxA
我们很容易看到在序列号不对上面有个jnz，我们可以在此jnz打断点，OD中F2打断点，在跳之前断住。
OD读取的是硬盘文件上的内容，并不是侵入已经运行的程序
我们利用OD启动程序，点击三角形
我们输入666点击check，OD会暂停，断点并显示灰色，代表此断点停留在此位置
这里用户的序列号要和自己的序列号比较如果相等就通过
在上方有个call 调用函数，如果调用的是系统函数，OD会识别出函数名并在右侧注释中显示。
若是开发者自己写的函数，此函数名就识别不出来，做混淆。
我们在call出打个断点，就是在调用验证函数的地方打个断点，另其运行，再看右侧注释能看到序列号
004010BD . 52 push edx ; /String2 = "9981"
004010BE . 50 push eax ; |String1 = "666"
004010BF . FF15 04204000 call dword ptr ds:[<&KERNEL32.lstrcmpA>] ; \lstrcmpA
可以看到，在右下角的栈空间也有显示
08-暴力破解
暴力破解就是输什么都对，或不输也对，改判断
If（）{
恭喜你
}else{
序列号不对
}
直接将判断删掉
004010BF . FF15 04204000 call dword ptr ds:[<&KERNEL32.lstrcmpA>] ; \lstrcmpA
004010C5 . 85C0 test eax,eax
004010C7 . 6A 00 push 0x0 ; /Style = MB_OK|MB_APPLMODAL
004010C9 . 75 1D jnz short CrackMe.004010E8 ; |
004010CB . 68 30304000 push CrackMe.00403030 ; |OK!
004010D0 . 68 24304000 push CrackMe.00403024 ; |恭喜你！
004010D5 . 6A 00 push 0x0 ; |hOwner = NULL
004010D7 . FF15 24204000 call dword ptr ds:[<&USER32.MessageBoxA>>; \MessageBoxA
004010DD . B8 01000000 mov eax,0x1
004010E2 . 83C4 14 add esp,0x14
004010E5 . C2 1000 retn 0x10
004010E8 > 68 1C304000 push CrackMe.0040301C ; |ERROR!
004010ED . 68 00304000 push CrackMe.00403000 ; |序列号不对，重新再试一次！
004010F2 . 6A 00 push 0x0 ; |hOwner = NULL
004010F4 . FF15 24204000 call dword ptr ds:[<&USER32.MessageBoxA>>; \MessageBoxA
Jnz跳到序列号不对，若将其删掉，前面有个CMP比较，产生结果，jnz根据结果来判断是否跳转到序列号不对，而汇编是从上向下执行的，若将jnz删掉，则直接向下执行恭喜你
说的删掉不是真的删掉，直接删掉会导致里面字节缺失，字节缺失会导致后面字节向前移，导致地址变乱
我们直接将jnz的字节变为空指令Nop（什么都不干对应的机器码90，占一个字节），
直接右击将jnz所占的字节改为Nop，下面已知jnz占两个字节，故将其改为两个90，好处，代码不会执行，不会影响原来的结构
75 1D jnz short CrackMe.004010E8 ;
抹去一条指令最合理的做法是将其指令所占的所有字节变为90即Nop
1，做法，右击jnz指令，二进制，用Nop填充
2，此时点击OD的运行，暴力破解成功
3，但如果我们将OD关掉，在双击exe，改了吗，没有，刚刚改的是载入OD的代码，在OD内存中将代码改掉了，我们应该将改掉的代码重新导出一个exe才能破解
4，使用暴力破解后，应该右击，复制到可执行文件，选择所有修改，全部复制，此时多出个exe（有点像η窗口），对着此exe文件右击保存文件
5，此时关闭OD，打开破解版，点击就成功进入
这个是比较简单的，网上有很多的crackme程序，这是比较简单的破解，要想破解植物大战僵尸的话还有很多东西要学
英文版，有一点不一样，只是一些按钮所在位置不太同。
一般的软件破解思路
首先将其载入内存，载入OD，分析其二进制码，进行相应破解，导出新的exe
但是有的软件会加大破解难度，可能会对软件加壳，保护程序不易被破解
加壳
首先有个exe程序A，它要进行加壳，相当于加了一个exe程序C这个课，也就是说，我们表面上看到的，载进内存看到的exeC将exeA的代码可能包起来了，甚至exe中程序代码可能是经过加密的，exeC先运行跑起来，跑起来后再将exeA代码进行解密，解密后再将exeA程序跑起来，所以我们载进内存的是他们混合二进制机器码，像这种已经加壳的破解，应该先脱壳，脱壳后只剩下exeA机器码，就可以分析破解导出新的exe程序了
09-CE
今天是最后一天
首先打开游戏
秒杀僵尸，打一下就死
无限阳光，阳光永远用不完
使用CE选择进程
我们此时会发现一个value即数值，现在要通过CE将阳光改掉，怎么改，改阳光要找到阳光所在的内存，假设阳光值是int类型，占四个字节，我们要找到四个字节，将数值填充这四个字节就好啦。
我们在value数值输入阳光值50，点击fist scan首次扫描，在左上角found 说明有这些个地方放着50的值。
我们让其阳光值发生变化，再输入75，点击next scan 再次扫描，我们双击地址，在下方会出现，我们将值改为500，发现游戏值更改了，这就类似外挂了，后面的辅助本质也是这样，都是通过修改内存中的数据达到外挂目的。
外挂的原理修改内存数据
无线阳光就是找到其内存空间，内存地址改掉它的值。
10-秒杀僵尸
秒杀僵尸
并不是一下打死，需要很多下
可以想象，僵尸有个属性生命值，打一下生命值就减一下
Zombie zombie；Zombie.life -= 10;
秒杀僵尸打一下，我们直接将其生命值变为0
Zombie.life = 0;
我们首先要知道哪句代码修改了僵尸的生命值
首先找到生命值的内存在哪里，我们不确定僵尸生命值，
1，先点击新的扫描，选择扫描类型未知的初始值，
2，点击首次扫描，发现found结果很多，
3，我们可以返回游戏，收个阳光，僵尸生命值不变（未被打），选择未变动的数值UNchanged value
4，点击next scan 再次扫描
5，找个植物打他一下，选择减少的值dcreased value
6，点击next scan 再次扫描
7，循环5、6几次
8，找到之后双击就下来了，右击找到什么改写了这个地址值find out what write to the access
9，选择yes，此时就会监听，我们再打一下僵尸，此时the following窗口就出现指令了，就是这句代码改了僵尸的值
00566D10 - 89 B5 C8000000 - mov [ebp+000000C8],esi
这句代码改了僵尸的内存地址，很明显，左侧为ebp+000000C8内存地址，右侧为值，这个ebp+000000C8就是僵尸生命值的内存地址
10，我们可以使用OD改其汇编代码，关闭CE，用OD打开exe
11，我们ctr+G，输入上面地址00566D10，我们可以找到代码
12，秒杀僵尸可以mov [ebp+000000C8],0 ，但有点问题，我们可以在前面就将esi 变为0，
00566D06 |. 2B7424 20 sub esi,dword ptr ss:[esp+0x20]
前面是将esi减去某个值再赋给esi,右侧应该就是打一下减少的值，为什么右侧是取内存的数据，因为每个植物伤害值不同，我们可以 sub esi,esi 相当于esi减esi再赋值给esi，就是0
13，改汇编的快捷键是敲空格，，改完后会发现多处两个Nop，原来汇编占4个字节，修改后占2个字节多处两个变为空
14，点击OD运行游戏可发现能秒杀僵尸了，我们已经将代码改掉了，所以此时调试已有秒杀僵尸的功能了，我们可以看到一颗子弹，僵尸就挂了
15，但是我们发现戴帽子的僵尸打不死，好几弹都不行，说明这个戴帽子的僵尸跟我们普通僵尸的代码是不一样的，被打了最后执行的代码不是刚刚找到的代码，此时思路和上面一样样CE找其生命值。
16，要想这个游戏彻底一些，每个僵尸都一枪搞定，此时观察改的代码适不适用这种僵尸，不适用再找
17，还有个无CD功能也要自己去做，CD就是冷却时间
18，我们用OD调试程序时，是不允许其他程序再调试此程序的，所以使用外挂前要关掉OD
19，CD是冷却时间肯定也是个数值，可以使用CE找到此值，并将其值改为0即可和僵尸生命值搜索道理一样。
像CD等，就是先找出数值内存在哪里，然后找到什么汇编修改了它的内存，然后改汇编代码就达到了修改程序功能的目的
我们可以将修改秒杀功能后的exe保存成新的破解版，此exe就有秒杀僵尸的功能了，破解版和未破解版大小是一样的，只是将字节替换，并未减少或增加
虽然破解版秒杀了，但功能无法去掉，因为代码已经改死了，每次打开都这样，所以游戏破解版体验不好，外挂体验比较好，想要就来，不想要就关掉
下面是有关戴帽子僵尸的内存代码
使用CE搜索
找到那个地址更改了此代码
是下面的地址
00566896 - 89 8F D0000000 - mov [edi+000000D0],ecx
载入OD找到此地址
Ctr+G 00566896
00566896 |. 898F D0000000 mov dword ptr ds:[edi+0xD0],ecx
向上找到
00566890 |. 2BC8 sub ecx,eax
将其改为
00566890 2BC9 sub ecx,ecx
这个改完后是直接一下将帽子打掉了
也就是说此处内存为帽子的生命值
我们先将普通僵尸的生命值打掉在看两者之间关联性
CTR+G 找到修改内存的地址
00566D10 |. 89B5 C8000000 mov dword ptr ss:[ebp+0xC8],esi
;
向上找到其生命值减少的代码
00566D06 2B7424 20 sub esi,dword ptr ss:[esp+0x20]
要想将其变成下方
00566D06 2BF6 sub esi,esi
00566D08 90 nop
00566D09 90 nop
帽子生命值和普通僵尸生命值是不同的，两者互相依存，秒杀普通僵尸，秒杀帽子两者同步
秒杀帽子后僵尸是普通僵尸会被秒杀普通僵尸秒杀
秒杀帽子的代码更改如下
00566890 |. 2BC8 原来
00566890 2BC9 秒杀后
但因前面字节2B是相同的，故也可以更改的地址及数据为下
00566891 C8
00566891 C9
代码为
//下面是秒杀僵尸的帽子BYTE data1[] = {0x2B,0XC9};//2BC9，此为帽子秒杀后的数据WriteMemory(data1, sizeof(data1), 0x00566890); //00566890为所修改帽子生命值数据的内存地址//下面是将秒杀僵尸的帽子生命值还原BYTE data1[] = { 0x2B, 0XC8 };//2BC8，此为帽子原来生命值的数据WriteMemory(data1, sizeof(data1), 0x00566890);
这里要注意里面的修改字节数sizeof(data1)要一致否则程序会异常退出
![某数据泄露防护(DLP)系统NoticeAjax接口SQL注入漏洞复现 [附POC]](https://i-blog.csdnimg.cn/direct/b62a9b9d16c74d1f8be1620e3acf3b32.png)
