超级详细找CALL写CALL教程.doc

首先说明，这个教程以一个找CALL的练习程序为例子。之所以不拿游戏，因为游戏找CALL时间长了，不适合做教程，而且本练习涵盖参数。我将说明为什么这么调用，为什么这么写！ a'Z"Yz^Eo  
6T-(GHzfHJ  
好的。偶们好的，偶们这节课需要用到的程序为【wygailf】制作的一个找CALL测试程序。首先感谢他！ Q7C'O @  
&zZSWNW  

<1y%ch;  
Y4_i=}\*vf  
这个就是我们用到的程序，OK，打开他并且用OD附加进程！ @*oi1
_q  

A1|:$tED+2  
并使其进入“运行”状态 a
U3&=aN+  
~&pk能是一层。所以这样也就解释了为什么有的时候按三下CTRL+F9和四下CTRL+F9的原因了。 u+Li'Ug  
03,+uf  
X 6>Pq  
x>t:&Y M  
好，说的就这些。下面LET'S GO！ E_ xpq  
$N+azal+y  
"xh ]>_;&'  
VQX#P<  
我们首先下断点bp send。 d/;o NC+  

GwpJxiFgk  
然后回车。如果不确定自己是否成功的下了断点。可以在OD中按ALT+B来查看 t.]oLG22r  
hG3b7!^#g  

C[~b6 UP  
];IUiS1  
好的，这个就是我们下的断点了。始终就是断点有效，也可以暂停断点。选择一个断点，敲空格。这个断点就变成了“禁用”。这样就算暂停了断点。OK这里不再赘述，我们开始。 &!~q#w1W-5  
C,K
P!B{  
+`\C_i-  
3EAu#c@q"  
============================================================================================================== QarA.Ne~  
VTD'D+ t  
I,.>tC  
 LR}b^QU7  
首先，我们来个HP药水试试！ MLaH("aen  

J,k9?nkY /  
在这里选择吃药。然后OD会断下！ A"p7N?|%  
|UE&M3S  

K6_{AuL}4  
+.5 /4?  
这里是程序断下的地方，我们可以看到下方有如下注释： f0}+8JW5h  
ABB4(_3E  

$ !ka8) ~  
V#=o<  
SEND来自.....说明这里是send函数被断开的地方。 b$
H{|[  
yiiYq(\{  
~~]L!P  
kuqf(  
继续，CTRL+F9我每一步都会记录下来，一点一点给新手解释为什么！ D~G24k6b3  
s -~Tf|  

ZV$qv=X  
f)~urGazS  
上图是我按下第一次CTRL+F9之后转到的RET。这里再顺便说一句。看到这里的RET 10了没有。这里是RET 10就是有4个参数的RET,一个参数占4个字节。那么按照这么说来应该是 RET 16才对啊。其实 U8PSJ0ny  
X~T"n<:a>  
这里的10是16进制的10，那么16=10（16进制）=4x4所以这里是RET 10。好，下面说正题：看到上面的CALL了没有。CALL WS232....当你看到这个的时候，你就可以毫不犹豫的再次按下CTRL+F9了，说明你现在还在系统的范围内。还没有进入到程序。为什么系统跟程序不一样？因为程序是依托在WINDOWS平台运行的。那么如果程序要干什么事情，就要跟WINDOWS打声招呼。也就是SEND函数！程序跟系统说，我要做动作了，系统说批准，程序说我要喝药，系统说批准，程序说我去哪里喝药，系统说CALL！好的，这里的CALL就是我们需要的CALL了。:-) SoI"a^fY  
! jm>  

+'Ec)7m  
]'3e#Cqeh  
第二次CTRL+F9，这里的CALL还是差不多，还在系统层内。我们继续！ za `  
 K!VIY|U  

]L@VpHEj  
n [H3b}  
OK，以上是第三次按CTRL+F9所看到的信息。 /p+ (_Y  
'8R5?9"  
看到这里了吗，已经是程序层了。也就说这里很有可能就是我们需要的CALL了。OK。我们来测试一下 2>Bx/QF@<  
n7>CK?25  
@0S3`[/
U  
#Cks&[!c  
好的，我们来看这一段 'yuM=Pb  

sS/#)/B  
?kEcYD  
lewei2000提醒:以下几点解释有误,初学者略过,楼主还需深化汇编知识 $R4[TQY).!  
(F@.o1No%  
看第一行：mov dword ptr fs:[eax],edx -------这里的意思是：将指针赋值到dword，后面有FS就是注释[eax],edx其实就是将edx中的值复制到eax中，使eax和edx相等（由于版主的指正，这里要声明，此处的理解为自己的理解。并不是正规的解释方法，仅供参考而已）。 )xYv$6=  
gmkD'CX*A  
看第二行：push 入栈,入栈就是把一个数值放到寄存器中，其实跟mov是一样的，那么这里push到哪里了呢？因为第一行eax已经被占用，那么这里就应该是ebx。也就说这里是赋值EBX。 (jv!q@@2C.  
\,| Xz|?C  
看第三行：lea eax,pword ptr ss:[edp-4]。这里LEA指令指将操作结果保存到eax，好既然是eax我们就不管他了。至于是什么结果，我们一会看。 q|,cMPS3  
mVFz[xI  
看第四行：CALL不解释。就是我们需要的东西。（但其实不是） *IL x-D5qr  
fZ!fwg$  
看第五行：ret 返回的意思。 _X5@%/Vz  
PF5;2  
好的，假设这段代码是我们需要的代码，那我们该怎么去表达它，在程序中如何去写？ 9i4!^DM  
$@k[Xh  
这里留个悬念，因为我事先测试过，这里不是我们需要的CALL，我就不说了。等找到正确CALL的时候我再讲解如何去写CALL。 YYfX@`\  
$t.i)wg +  
好继续CTRL+F9下图 OL+dx`Y  
U(#)[S,  

e45gjjts  
34S|[PX d  
看这里，跟上面一样，这个返回没用，我们继续CTRL+F9。 c"qaULY  
qFEGV+  

Q(@/,%EF  
#sl_ BC9  
好，这里又出现了一个CALL，那我们想想是不是这个呢？如何去调用这个CALL？ =@%;6`AVcp  
OU)~ 02|\  
首先，我们要测试一下它是不是一个带参数的CALL，至于怎么测试呢？---靠，那就用程序CALL一下呗！但这里的CALL是个有参数的CALL。我们继续。 H U
[a b  
.yz-o\,gF%  
我们如何知道这个CALL调用了什么参数？试想一下，CALL调用参数，要在哪里看？当然是在CALL中看了，如何看？那就让我们去CALL那里了，如何去？--断点~！（周杰伦唱的）  ut6M$d4  
l5sBDiir%  
好，在上面CALL那里下断点~选择CALL，按F2 HQi57QB  
 ?39B(T  

R Wa4O#  
|ocIp/ $  
这里前面的地址变成了红色的。这样就算断点成功了，这里断了前面就不用断了，我们在ALT+B中删除以前的SEND断点。（Delete键删除） ejq2]^O4c  
c&zZsJ"~  
OK，我们让程序恢复到运行状态！ D>& ;K{!  
g8+w?Zn}  

y/' ^r ?  
iG 
好的，看到断点了没有，正好断在我们刚才下断点的地方。说明不管这个CALL正确与否，我们吃血的过程都要调用这个CALL，这样就离正确很接近了。 ^+Ez[S{8  
$@_7HE3  
我们刚才说看CALL的参数，CALL的参数其实就是在调用CALL的时候所需要的运行环境，在什么条件下，CALL执行之后是吃血，什么情况下是吃蓝。 \ iL&Aq}BO  
1j*I`xZ  
好的。我们现在利用到了寄存器。看寄存器中的提示，有两个红色，说明当我们调用CALL的时候，它使用了寄存器中的两个地址。那么这个就是CALL的 '8~cf  
# k+Gg w  
运行环境了，也就是说，只要在我们调用这个CALL的时候，寄存器EAX中有值00D51FE4和寄存器ECX中有值0042ABE4就可以运行。这里还有一个特殊 l*[.  
dfB#+wh  
情况，这里我先卖个关子。 m{={
a5GD  
?{#P.2  
这里也解释了上面的那个不是我们用到的那个CALL如何看参数！ S~
vb ISl  
8 ?' ]W\)  
好，这里我们写一个小程序来调用CALL。 oS)0,p  
9vL`|`Vau  
=============================================== (]0$^!YK  
p}.P^`~j  
好，不管是不是这个CALL，我们先来测试一下 9\*xK%T+  
_1*EMq6  
AO;`k]0e  
?n/:1LN,  
我是用delphi的，所以这里讲解delphi-----这里我还要多一嘴，其实语言只是工具，只要学会了道理，就不在乎语言的问题了，其实在我们这个阶段，语言的区分仅仅是命令不同而已 \Ja%u"D A  
=HP_IG_  
我会把如何写的理论告诉给大家。让大家知道------花儿为什么这样红！o(∩_∩)o...哈哈 YP~d1BWvf  
BW:&AP@B  
.CI]8O"3y  
df #DKV:  
首先，我们要调用一个程序的CALL，需要干什么。当然是指定这个程序啦！如何指定？如果这里您不知道，建议您去句柄那里好好修炼一下。 (|ga#% iI  
xN2M| E]  
Hwnd:=FindWindow('1','2')======这里的Hwnd是个变量，为窗口句柄。FindWindow是一个找窗口句柄的命令，这里有两个参数，我用1和2代替。其中1在命令中应该是窗口类名。 e}/c`7M  
({![  
                                                        2在这里应该是窗口标题。 {exF" ap  
/j -LW1:N  
GetWindowThreadProcessID(1,2)=这里的GetWindowThreadProcessID()也是个命令，是找窗口线程ID的一个命令，有两个参数。1代表窗口句柄，2代表赋值变量，这个变量就是我们 QfU 0*W?r  
EPI mh  
                                                      要把线程ID赋值给什么变量，可以这么写GetWindowThreadProcessID(Hwnd,@ThreadID); &Z=}
H0y q  
X acess就是打开进程的格式，我们这里使用全部格式就可以了。无需理解，这么写就好。 kp<9o!?)  
bvEk.~tC'  
这里写好了，我们可以检测一下是否成功。
I$qL=  
_}jj>+zA`  

plfz)x
3  
SL%4w<  
x"AYt:ewuc  

[p4a\Qg0  
n0Ze9W+<  
n{4&('NRFP  
这里就是找线程ID了！下面写注入 woR((K] #G  
Ku,Efr  
过程注入函数 Qg9{<0{u  
function TForm1.InsterGameFun(Hid:cardinal;FunName:pointer):cardinal; rQisk8 %  
var T'Jw\u>"R  
{要注入线程的窗口句柄和临时存放的句柄} rX;
(48Y  
  TmpHandle: THandle; A FfgGO  
  ThreadID: Thandle; zac>tXU;  
  ThreadAdd:pointer; mhlJzGr*q  
  WriteCount: DWORD; $ P#k|A
 
begin |:H[Y"$1;  
  ThreadAdd := VirtualAllocEx(Hid nil, 128, MEM_COMMIT, PAGE_EXECUTE_READWRITE);//在目标进程建立内存空间 %gw0^^A  
  WriteProcessMemory(Hid, ThreadAdd,FunName, 128, WriteCount);//将要注入的过程写到上面建立的内存空间中 L]HY*e  
  TmpHandle := CreateRemoteThread(Hid, nil, 0, ThreadAdd, nil, CREATE_SUSPENDED, ThreadID);//获得注入后过程的句柄ID B*D`KA  
  result:=TmpHandle;//返回句柄ID hrcR"OZ~X  
end; ~= 0zZTG  
M5%u>$2  
这里照抄也可以，反正就是这么写的，每步怎么个意思我也标示了。 y'4=  
(V e[FhA  
注入也写了，窗口也获取了，剩下的就是写CALL了。 n$b/@hp$z  
rvr Ok  
y!aq}YS  
vn,L),"=  
好的！我们看这个图片 B~~rLo:a  
*y N,e.t  
M>T#MDK\(  
,VHvQU  
记得我刚才说的EAX(00D51FE4)和ECX(0042ABE4)了吗？ KgKV(q=  
Iqo4INGIi  
fNB*o={r|  
//6m2a  
按照这里来说。只要我们写命令 W:0@m^r  
| dXS+R1  
pushed n}?kQOg0/  
1>|p1YZ"  
    asm m'429E]\S  
9prG@  
mov eax,$005D1FE4 |/r@z[t  
rtUd L,Hx  
mov ecx,$0042ABE4 GU"MuW`u2  
sY1*Wo lA  
    call $00452E98 } 10Dvt>+  
b!UT<:o  
popad 0jg-]  
~[,E i k  
一般这样的命令就可以了。 2U#OBvNU  
%7L'2/Y2x  
tM !1oWH  
l?#([(WM  
但是我们这么写的时候却没有生效。那么一定是哪里出错了。我们对比两个图 LfK <%(:  
5@Rf]'1B0  
vbA9 VRG[  
PRf2@0
ZV  
我们对比两个图的寄存器中的值。 EP{y?+E2  

GKm)wOb(*S  
我们发现EDX中，值在返回之后度没有变化。也就是说这里EDX也有可能是环境因素之一。而ECX前后却有变化，那ECX是不是环境呢？ b/2t@VlL  
oBIKt S*L  
我们做如下测试。 w'cZ\~F DJKGK  
    pushad >'E'Mp.  
  mov eax,$00D51FE4 !a4pKN`qLY  
  mov ecx,$0042ABE4 H?^Poe(=(  
  mov edx,$00453028 +
*F ;l\R  
    call Address Y+j|T`d  
    popad ;R|5sCb/m  
end; E3sl"d;~  
end; 62a{Ggs{  
=d&  
我们这么写，测试一下，成功！那么去掉ECX呢？也成功！ k q_B5L?  
5
7D /"  
这里就是EDX和EAX是真正的参数了。 #!C/~"Y*`|  
CGny#Vh  
======================================================================== 3Sf ,TOi~s7  
好的，我这已经讲解的超级详细了，如果还有人不明白，那我真吐血了！ S 0,p:Wey  
:a nUr<  
以此类推就可以写出蓝，回城的CALL，呵呵，如果写不出来。那你看来还要重新看我的文章。 Z2j M.[hq  
b~WiE?  
================== z3[ J>  
提问与解答 i4JqU\((]  
======================================================================== Mx4 DUF fk6#X}  
这句不太明白啊，，call之前究竟是给变化的寄存器赋值还是给不变的寄存器赋值啊？我被你搞混了噢。。。 ;r B2Q H]  
呵呵 谢谢lz这么好的文章，希望能解答下我的问题。。。
xf_NHKZ)  
q5p!Ty"  
回答：这里的ECX不是环境之一，这个不一定就要一定不变才是因素，具体问题要具体分析，如果你想知道到底这个寄存器中的值在call后是否变化了，可以进入这个call看看这个call的具体运算方法。 [ ]}E- V  
mG*[5?=r  
"eA4JL\%)  
引用
引用第10楼ffzzfcll于2008-04-18 15:06发表的  : ds}:t.3}6  
但是我们这么写的时候却没有生效。那么一定是哪里出错了。我们对比两个图 w@ALl#z;}  
.......
lyc ]E 9  
]|KOc& y:I  
回答：这里的两幅图不是没有添加，因为跟前面的图一样，所以附件并没有显示出来，这里的两幅图中对对比仅仅为了证明ECX的值前后不等~其实没有别的却别。并不影响学习。 Ka%u#};  
<$7HX/P  
f*)8bZDD  
引用
引用第22楼leonta于2008-04-19 21:50发表的  : >c %*:
a  
LZ    你简直无敌了  我一直都没看到过对新人来说如此好的教程 C^oj/} ^  
当然有点还是要给你提出来  E]Dcb*t  
断点  是张敬轩  唱的  不是周杰伦    周杰伦  唱的是  断了的弦 fhp\of/@ R  
最后希望    楼主多写这么好的教程    我一定给你顶起
j]Y`L?!Q  
O1]L4V1iH  
NNDW)@p6z  
回答：感谢您的指正，我对明星不怎么感冒，感觉上貌似是周董的歌，呵呵，弄差了！ \zOo[/-<  
$o}Ao@WkO  
"]H_;:{f  
引用
引用第24楼flycat于2008-04-20 02:59发表的  : 5jMI33D  
通过这么详细的解说，终于CALL成功了！！！ < KB V  
-------用VB写 回城与使用冰系CALL的代码 dZMf5=tb  
Sub HOME()        '回城 ^/c v
8M=  
Dim asm As New clsASM k9Pwf"m|](  
.......
qK=uSL o\+  
T- ~l2u|s  
回答:谢谢您的分享！您的支持是我前进的动力！ WZh%iuI{C  
kfc5ra>&  
引用
引用第32楼黑爵士于2008-04-22 16:50发表的  : [T}Lq~  
以自己的方式来理解定义汇编语句？会误导不少人的。 `PoFKtVX M  
不过思路上具有一定参考价值，文章风格很生动哦，楼主辛苦了，可申精就是不可能的啦:-)
B r`a;y T  
pHNo1-k\  
回答:~~55555555555555！版主啊版主，我发帖可不容易呢，一个上午的努力还换不来一个精华，真是对我积极性的打击呢o(∩_∩)o...不过您指正的错误我虚心接受！！！学无先后达者尊！ !vfb gK  
HP,sNiw  
引用
引用第40楼nasuer于2008-04-23 14:59发表的  : j-$F@p2F  
建立remoteThread跟你的procedure吃红有什么关系呢？
y]U]b G{  
n Y)H-u^  
回答:这里的remoteThread应该是很多大大们称之为"远程注入"的命令.只有注入了,才能对所注入程序中的汇编进行操作~(个人意见而已) V9:Jz Q=?`  
,%=SO 82W  
引用
引用第41楼lccyy于2008-04-24 11:50发表的  : ye^*Z>|  
楼主 非常感谢你的指点！我这里帮你更正一下！ ATG;*nIP  
断在call前时EAX中的值应该是这样： ;udV"7C  
call是连续按5次Ctrl+F9 ]I ^b&N  
EAX 00D51FEC eJ ;a}{ 4%  
ECX 0042ABE4 游戏找CA.0042ABE4 CM`B0[B  
.......
r gw@  
CqVeR';2  
_c$F?9:  
回答:这位朋友的信息贴出来以后我发现和我的差距着实非常的大,不仅很多寄存器中的值不相同,甚至连CALL都不一样.不知道您给我的指正您测试了没有?我这可是亲自测试的.并且有源代码等等.如果您并没有做相关的测试就来指正的话,恐怕难以服众啊~!不过也谢谢您的指正,人无完人嘛,我帖子里的错误也会很多的,希望各位大人多多指正! U_KCN09  
[X "pOz  
% B^BN|r  
;.U第58楼liujiangshu于2008-04-30 00:03发表的  : 3EV?=R  
胡说八道    
83!{?EPE  
L_sDbAT~<  
-, uT8'  
回答:这位兄弟~有错误我绝对虚心接受,我本身也是菜鸟,不是什么权威,错误是一定有的.但是您的这个评论未免有点武断! ><xJQeW  
|)*9B N  
A5E^1j}h@  
引用
引用第60楼hzyhaa于2008-04-30 09:16发表的  : MxDqp;  
拿来开刀的那个程序，在那可以下到啊
zJ30ZY:  
m.68ctaa  
 ]&OI.p  
回答:针对于这个朋友的提问,我将附加上程序,以及delphi源代码! gsY Q"/S9  
.hRtQU  
}g& KT!r  
最后我来提问:我看到过这个同样有这个教程的E语言的源代码,E语言的源代码中mov eax并我和我的格式一样,我的是直接传递值,而那位大师的则是mov eax,eax.....类似这样的格式.我想知道的是这些都是怎么来的?希望各位能多多指点!
[ 此贴被gao6621在2008-05-04 10:00重新编辑 ]
附件： 找CALL测试.rar (174 K) 下载次数:1368
附件： 游戏找CALL练习实例one.rar (164 K) 下载次数:1372