编辑寄语：
��这期依然是介绍error free的作品，希望大家能够学习解密的基础知识，这对初学者来说非常重要。
|
1.
|
Roland VSC-88 软体音源 | ||
| 丑丑字型 & 中文 Win95. | |||
| Re: 丑丑字型 & 中文 Win95. | |||
| More Space 2.7 ! 减肥示范教材! | erro free | ||
| Cwin95 丑字型- 细明 8 之一 | |||
|
2.
|
|||
|
3.
|
|||
|
4.
|
|||
|
5.
|
Roland VSC-88 软体音源
在进入手术房示范刀法之前, 我先说说对这类程式的看法:
我第一次动手下去追之前, 其实我也想了几天; 因为它播放 50 秒的
计时终了, 使 User 不能继续聆听的手法, 并不是跳出一个窗子警告
中断, 而是慢慢的渐弱缩尾; 也就是说 50.00 秒和 50.00+ 秒的表
面状况差异不明显, 这会造成 Hacker 在设断上的困扰.
那个 50 秒的临界点, 前後差异因为太不明显, 所以想要在刚好 50
秒渐弱之刹那断下来, 不容易吧! 那怎么办? 没辄就是看天吃饭!
在 Win 起始後, 其第一次使用 VSC-88 的开头, 会跑出一个日裔的
窗子来警告嘛! 那我们就先把这个窗子决解掉再说. 至於那个 50 秒
的计时, 顺其自然.
1.用 winice 载入 95 , 执行 VSC-88 . 它会弹出一个 50 秒的警告
窗子. 有没有忘记我以前曾讲的拦窗子的点 lockmytask ? 只要用
这个设断成功, 依经验, 约有八成的程式不是很难解的.
2.注意哦! 这次的窗子, 若没把握到, 就得重开机了哦! 在窗子中,
按下 Ctrl-d 切入 winice .
3.打 BPX LOCKMYTASK 设断, 压 F5 返回 VSC-88 的画面.
4.按下窗内的 "确定" , 一收窗, 就会被 winice 拦下来, 如下:
USER!LOCKMYTASK
CS:636C ENTER 0004,00 ; <- 在这里拦下来.
PUSH SI
: :
5.就开始用 F12 键, 往外层的常式跳! 注意按! 一按到了 VSC 的
地盘, 就要马上停下来! 如下:
1E07:4D00 CMP WORD PTR[005C],0 ;
JZ 4D27 ; <- JZ
CMP WORD PTR[00D4],0 ;
JZ 4D27 ; <- JZ
: :
4D1C CALL USER!MESSAGEBOX ;
MOV WORD PTR[00D4],0 ; <- 返回至此, 由此可知, 上
CMP : : ; 面的 CALL 与窗子有关.
--- VSC(1) ---
往上一看, 有两个 JZ 会飞越这个 MESSAGEBOX ! 有两个 JZ , 通常
我会先试第一个. 那要强迫第一个跳至 4D27 , 有几种方式可行. 如
下:
一、把 JZ 改成 JMP .
二、把第一个 CMP 那行最後的 0, 改成 [005C] 相同的资料.
三、把 [005C] 内填零.
通常我会用第三种. 因为在 WINICE 中, 用 E Addr 比较方便. 上两
种必须用 A Addr 来组译, 必须注意组译出来的 Bytes 数.
6.用 E DS:005C, 此时的资料栏如下:
--- VSC(2) ---
DS:005C 01 00 05 00 01 00
^^^^^
有没有注意到第一个 CMP 後面的 "WORD" 字眼? 那个 WORD 就是指
使用的资料长度是一个 Word , 也就是两个 Bytes, 因此就是把上面
画底线的两个 Bytes 填零就可以了.
7.把 DS:005C 的地方填零後, 按 F5 再返回 VSC-88 试看看.
结果, 试听时发现 "老天爷居然给饭吃" ! 50 秒的限制不见了? 有
没有注意到资料栏的地盘是 VSC ? 那表示东西不是在 VSC.DLL, 就
是在 VSC.EXE 罗!
其实还没完, 因为我改了把上头的 01 改成 00 之後, 再进入 Win95
时, 会弹出一个视窗, 说 "波形的资料毁损" !
天啊! 那我只好再改程式段再试试看吧! 也就是第一个 CMP 那个地
方. 因为资料段和程式段不同, 说不定它只检查资料段.
8.我们再看一下那一段, 如下:
1E07:4D00 CMP WORD PTR[005C],0
JZ 4D27
是不是改成如下就好了?
1E07:4D00 MOV WORD PTR[005C],0
JMP 4D27
但是改成如上会多出一个 BYTE , 因为第二个 BYTE 是 0, 所以只要
改一个 BYTE 的叙述就好了, 你可以用 BYTE PTR 的叙述来改.
也许你会想, 最好连那个 JZ 都不要改; 正在想办法把 [005C] 放 0
, 又可使 Zero 旗标举起来的叙述. 答案是有的, 那就是 AND !
丑丑字型 & 中文 Win95.
平常 Hacker 有大半的时间, 大概都在砍别人所设下的防护
措施吧! 不过有时候呐! 也会修改到非保护关卡的常式; 或
是撞到他人撰写程式时, 不小心所留下来的 Bug.
呵! 有时候会不小心帮忙抓软体中的 Bug Routine, 这大概
就是 Hacker 要存在的意义吧!
我在追踪 ShellWizard 3.0 窗子上的字型问题时, 分析了
老半天! 似乎有愈来愈明显的趋势, 显示的 CWin95 本身的
字型系统有问题.
因为我追进了 User32.dll , 把它存取资料改掉後, 居然所
有 "丑丑字型的视窗" 之软体, 都变成很漂亮!
追踪过程很繁索, 我就直接讲重点好了. 有 "丑丑字型的视
窗" 之软体, 都会呼叫「CreateDialogIndirectParamA」这
个 Routine 来画窗子.
在呼叫「CreateDialogIndirectParamA」之前, 它会先去呼
叫「GetSystemMetrics」, 这个常式在使用之前, 必须先
Push 一个值给她, 如下:
PUSH xx
CALL USER32!GetSystemMetrics
若有像 ShellWizard 3.0 主窗那种丑丑字型之软体, 都是
PUSH 2A . 如下:
PUSH 2A ; <- 会出问题的都是 2A .?
CALL USER32!GetSystemMetrics
CMP EAX,EBX ; <- 会出 "丑" 时, EAX 都是 1.
1.切入 S-ICE, 用「bpx GetSystemMetrics if @(ESP+04)==2A」
来条件设断. 以上是 SICE 3.0x 的设断语法哦! 在 2.0
中, 并不适用.
2.按 F5 返回 Win95, 一执行 ShellWizard 3.0 Pro, 会被
S-ICE 拦下来, 就开始单步执行罗! 如下:
:u getsystemmetrics l 40
USER32!GetSystemMetrics
014F:BFF648C7 XOR EAX,EAX ; <- 在此拦下.
014F:BFF648C9 MOV EDX,[ESP+04]
014F:BFF648CD CMP EDX,00
014F:BFF648D0 JL BFF64919
014F:BFF648D2 CMP EDX,4A
014F:BFF648D5 JA BFF64919
014F:BFF648D7 CMP EDX,29
014F:BFF648DA JZ BFF64929
014F:BFF648DC MOV EAX,[BFF6714E]
014F:BFF648E1 ADD EAX,000003C4
014F:BFF648E6 ADD EAX,EDX
014F:BFF648E8 ADD EAX,EDX
014F:BFF648EA MOVZX EAX,WORD PTR [EAX] ; <- 执行到此先停住
014F:BFF648ED CMP EDX,16
014F:BFF648F0 JAE BFF64919
3.当执行光棒停在 MOVZX EAX,WORD PTR [EAX] 时, 用
D EAX 来看资料. 如下:
:d eax
0157:81EB2418 01 00 02 00 00 00 02 00-02 00 A0 00 18..
^^^^^
4.用 E EAX 来吧把第一个 01 填 00 吧! 再用 BD * 暂停
所有的断点, 然後按 F5 返回. 怎样?
ShellWizard 3.0 Pro 有没有变的相当漂亮? 妙的是! 她
这次的画面, 居然给多出了四个原先被盖住的选项.
5.此时系统的参数就被你改过了, 就开始试变丑的各种软体
吧! CuteFTP、FTP Explorer、CAMCAD 2.0.9e 的 About &
WinPack 的 About、WinHacker 95... 最後别忘了试 Clean
Sweep ! 看她的面孔有没有变的很正常....
注: 因为手边没有 GetSystemMetrics 的资料, 系统的东西若
要动, 还是要谨慎一点好, 故我尚在考虑中, 尚未产生固
定的改法, 所以暂时先在 S-ICE 下, 改著玩吧!
若有人有 GetSystemMetrics & CreateDialogIndirectParamA
两常式的呼叫使用法, 请提供一下吧!
Re: 丑丑字型 & 中文 Win95.
若是要直接修改user32.dll档，应该怎么做呢？
因为不太用会SoftICE，所以还希望您能够指导如
何修改user32.dll:)谢
你真的要动它? 我还没有想出固定的改法呐! 因为系统的东东
, 不像应用程式一般, 不能开玩笑的, 不先了解原 Routine、
考虑再三, 我是不会去研究永久性改法的. 不然若传开了, 那
天出大槌了, 会害死一票国人 ...
目前我有发现一个程式会出槌, 用 Anawave Gravity 1.1 看
中文信时, 会完蛋. 我这边其它的软体, 看起倒是还算正常.
当这类丑丑的软体, 若 GetSystemMetrics(2Ah) 传回非零值
时, 在中文 95 系统会使用的字型是 "细明体 8" (它若使用
"细明体 9" 不知有好! 可惜呀!...唉...) .
英文软体的基本字型, 好像是使用 "MS Sans Serif 8" 才会
比较正常. 否则用 "细明体 8" 除了字丑以外, 字高太短才是
大事, 否则 SW30pro 的那四个选项, 就不会被那张图给盖住
了.
对了! 谁找的到 Ture Type 的 "MS Sans Serif" 之字形?
不过在应用软体层面上, 你们倒是可以先动. 追法如下:
1.切入 S-ICE, 用「bpx GetSystemMetrics if @(ESP+04)==2A」
来条件设断. 以上是 SICE 3.0x 的设断语法哦! 在 2.0
中, 并不适用.
2.按 F5 返回 Win95, 一执行 ShellWizard 3.0 Pro, 会被
S-ICE 拦下来, 按一下 F12 or F11 . 你就会看你如下的
样子了:
原来:
PUSH 2A ; <- 会出问题的都是 2A .?
CALL USER32!GetSystemMetrics
CMP EAX,EBX ; or TEST EAX,EAX ; <- 会出 "丑" 时, EAX 都是 1.
改成:
PUSH 2A
CALL USER32!GetSystemMetrics
XOR EAX,EAX ; <- 这样子该应用软体就正常了
注: SW30pro 是在 MFC42.DLL , 其它大半的都是在主 .EXE
档中. 修改 MFC42.DLL 应该不致於牵扯太广.
「改之前先备份原来的档案! 切记! 切记! 」
More Space 2.7 ! 减肥示范教材!
通常在追一个软体之前, 就是要找一个 "明显变化" and "即时可试"
的事件出来. 要找这个, 就是要多操作你的目标软体. 像是要砍之前的
先玩玩看. 先熟目标软体的操作特性, 是有助於设断的 Sense 的! 对
啦! 再问你们一次! Sense 是不是念做 "先死" ?
不过这一点我很放心, 因为会主动去砍的软体, 想必也对它唾涎有一阵
子罗! 是不是有点像追女孩子一样? 还没有说过一句话, 对方的一切周
遭, 老早就都背得滚瓜烂熟了! 至是否闭著眼睛, 就可以走到她的房间
? 那等以後追上了, 再去求证吧! 太早求证, 会被人家骂 "猪哥" 哦!
经过对目标软体 More Space 2.7 的熟悉, 我知道在 Duplicate Files
的视窗中, 点右上角的磁碟机选择栏时, 会跳出一个小窗子来告诉你要
注册罗! 且履试不爽, 故这个小窗子就是我们的第一据点.
以前我讲过 lockmytask 有没有忘记? ..什么! 忘光啦! .. O.K! 没关
系, 反正它在今天是英雄无用武之地, 发挥不出来. 我们再换一招, 试
试 destroywindow 看看.
1.进入 More Space 2.7 的 Duplicate Files 的地盘.
2.点一下磁碟机选择栏的其中一个方格, 此时会跳出一个小窗子.
3.按 Ctrl-d , 切入 sice .
4.打 bpx destroywindow, 按 F5 返回.
5.当点一下 "OK" 时, 会被 sice 拦下来. 如下:
14F:BFF62391 MOV CL,B4 ; <- 在此拦下
JMP BFF623D7
6.按一下 F12 , 居然就到了目标领空! 如下:
14F:417BB4 RET ; <- 返回至此.
7.再按一下 F12 , 如下:
14F:423C6B CALL [EDX+68]
MOV EDX,[EBP-04] ; <- 返回至此.
有没有注意到上行有个 CALL ? 通常有 CALL 时, 你就要先看看上面有
没有判断式. 有的话, 你先暂停所有的断点, 在那个 CALL 设断. 返回
程式之後, 点一下磁碟机选择栏, 被 sice 拦下来之後, 再用 F10 带
过那个 CALL , 看是不是小窗子的整个领域之 CALL .
如果不是, 则必须暂停所有的断点, 再跳到 "步骤-5" , 再按 "OK" 前
, 再把 DestroyWindow 打开. 按 "OK" 断下来後, 再一直按 F12, 直
到返回此地的上一层 CALL 为止.
8.就这样不断的重来按 F12 的往回跳, 最终你会反返回到..如下:
14F:4C079C CALL 470FF8 ; <- 在此设断试带 F10 看看.
JMP ; <- 返回至此.
9.当然这个 CALL 470FF8 就是小窗子的总领空罗! 往上看有..如下:
14F:4C078E CALL 4B9378 ; <- 想必是核对总部, 进入观查.
TEST AL,AL ; <- 在此设断试之..
JNZ 4C97A3
10.把先前的所有断点再暂停一次. 在 TEST AL,AL 那一行设断, 压
F5 , 回目标程式. 一点磁碟机小格, 又会被 SICE 拦下.
11.把 AL 改成 1, 试之. 试的结果, 不会跑出小窗子了, 最重要最重
要的是, 你点的磁碟机, 居然出现打勾!
12.那我们就进入那个 CALL 看看..如下:
:u 4b9378 l 80
014F:004B9378 PUSH EBX
PUSH ESI
XOR EBX,EBX
: :
13.等一等. 我们进来要干嘛?
因为我们 <步骤-9 试 AL 时, 知道 AL=0 返回不利! 所以我们要分
析此地的 routine, 在什么情况下 , AL 才不会带 0 返回... 继续
, 如下:
014F:004B937C PUSH 00008000
CALL KERNEL32!SetErrorMode
MOV ESI,EAX
PUSH 004B93EC ; <- 此位址 Dump 出来看
CALL KERNEL32!LoadLibraryA ; <- 载 .DLL 档时, 大多
; 会用到此函式. 看一
; 此软体 Help 的注册
; 章节.
014F:004B9392 MOV [004C2C00],EAX
MOVZX EAX,SI
PUSH EAX
CALL KERNEL32!SetErrorMode
CMP DWORD PTR [004C2C00],20
JL 004B93E4 ; <- 这里有一个判断.
014F:004B93A9 PUSH 004B93F8
MOV EAX,[004C2C00]
PUSH EAX
CALL KERNEL32!GetProcAddress
014F:004B93B9 MOV ESI,EAX
MOV [004C3964],ESI
TEST ESI,ESI
JZ 004B93D9 ; <- 这里也有一个判断..
014F:004B93C5 MOV EAX,000004D2
CALL [004C3964]
CMP EAX,000004D2
JNZ 004B93D9 ; <- 这里又是一个判断.
014F:004B93D7 MOV BL,01 ; <- 01 ? 生命之泉!
4B93D9 MOV EAX,[004C2C00]
PUSH EAX
CALL KERNEL32!FreeLibrary ; 把 .DLL 放掉.
014F:004B93E4 MOV EAX,EBX ; 哦! 原来 EAX 是用 EBX 的
POP ESI
POP EBX
RET
好啦! 就讲到此为止. 要玩, 就自己看著办! 要害的总部, 已经告诉你
们了; 高手不要说答案, 留给 Hacker 新生自行单步执行练习吧! 也让
他们多啃一些组合语言的书! O.K ?...下课....
Cwin95 丑字型- 细明 8 之一
今天再来谈谈有点偏离 Hacking (砍事) 的 "字型" 话题...
其实我现在可以决解 CWin95 丑字型的方法, 依这段期间的修改记录
看来, 已经可以达到八、九成的满意度了; 剩下的那一成, 就是找不
到我心中想要的那个字型档.
所以迟迟没有把方法 Post 上来, 因为没有那个我心目中想要的字型
档, 故 Post 上来, 对网友也没什小路用..
我们最常见的问题, 就是英文软体会使用 MS Sans Serif - 8 的字
型, 但这类软体其字型问题大概可分成两种:
1.当 GetSystemMetrics(2Ah) 传回非零值时, 它会以 "细明-8"
来显示. 如: UltraEdit, Win Hacker ..等.
2.应用软体本身不受系统的引响, 依然我行我素, 正常的以 "MS Sans
Serif-8", 来显示. 表面上好像很正常, 但是若那一行带到中文字
时, 中文字照样以 "细明-8" 呈现.
当你把它改成 "MS Sans Serif-9 " 时, 遇到中文字一样是 "细明
-8" , 会照成中文化的困难. 应该是 CWin95 用的 MS Sans Serif
不是 True Type 的吧! 如: Agent ..
以上两种类形的软体, 不管是那一种, 在中文化时, 都会有一个问题
存在, 就是字高的问题, 因为 "MS Sans Serif -8" 居然会比 "细明
-9" 来的高.
若用的字形, 其字高不对时, 会照成某些表格画面的不搭调、出轨画
面、乌云遮半月... 等情况.
如: 「Powertoy 的 tweakui」.
「Paint Shop Pro - Color - Edit Palette」
「ShellWizard 3.0 的主画面」
如果可以找的到某个 True Type 的字型档, 若它的 -9 和 "MS Sans
Serif-8 " 一样高、一样宽, 那不就...!! 没错! 的确如此..
这些日子我就是在找那种字型档, 包括也再找建立字型档的软体, 因
为自己建造, 慢慢画慢慢改总可以了吧! 但是理想归理想, 字形建造
器想不到在 PC 界是如此的....唉! 不提也罢..
在 MAC 界, 居然有一大票的全功能免费试用版; 在 PC 界, 一大票
都是字型流漤器, 字形建造器只有小猫两三支, 而且都是几百年前的
老软体, 连 "狂人" 都不屑一顾. 只好拉那超古老的试用版来试之,
但是并不好用.
幸好我在网上有拉到一个 Fmonster35 , 可以改字形档的一些定义,
但是字高还是改不了. 翻遍了我所有的光碟片中的几千个 Font 档,
总算找到了一个. 唯一可惜的它是斜体字. 但它算是合格中的最美了.
这个的 font 名, 我把它改为 TS Sans Serif, 和 MS Sans Serif
差一个字, 在 UltraEdit 中, 改 Appz 时, 会比较方便嘛! 而且
有许多 Appz 只允许你改等长的名字, 多一个少一个字都不行. 所
以我才取名为 TS Sans Serif .
想要转成较好看的 "细明 9" , 总算有了一些生机, 下列三个方法
记起来:
1.搜 08 00 4D 00 53 00 20 00 53 00 .
09 00 54 00 53 00 20 00 53 00 .
^^ ^^
用 Replace ALL .
09 是指 -9, 54 是 T, 把 MS Sans Serif 改成 TS Sans Serif.
要不要改成 TS Sans Serif 因情况而定, 若有 "细明-9" 的英字
有出轨才要改, 如: Easy CD Pro 95 V2.11(20) 按钮上的字.
或, 它本来就是显示正常的 MS Sans Serif-8 了, 只是要中文化
, 光改成 -9 也没有用. 如: Agent .
2.若还有表格不正常, 再搜 4D 00 53 00 20 00 53, 若有搜到时,
你会看到前面有几个零, 如下:
搜 08 00 00 00 00 01 4D 00 53 00 20
改 09 54(T)
如: FsPatch, WinPatch 等. 这改成 TS Sans Serif-9 比较好看.
3.若还有问题, 再搜 08 00 48 00 65 00 6C 00 76 00
Replace All 09 00 48 00 65 00 6C 00 76 00
把 Helv-8 改成 Helv-9 , 如: UltraEdit ..
另外在 win.ini 中, 有如下这个, 你们就自行研究看看吧!
[fonts]
[FontSubstitutes]
Helv=MS Sans Serif
Tms Rmn=MS Serif
Times=Times New Roman
Helvetica=Arial
MS Shell Dlg=MS Sans Serif
Arial Cyr,204=Arial,204
Courier New Cyr,204=Courier New,204
Times New Roman Cyr,204=Times New Roman,204
Arial Greek,161=Arial,161
Courier New Greek,161=Courier New,161
Times New Roman Greek,161=Times New Roman,161
Arial CE,238=Arial,238
Courier New CE,238=Courier New,238
Times New Roman CE,238=Times New Roman,238
最重要最重的 TS Sans Serif 档名是 Tnimbusi.zip , 我把它放
在 ftp.tku.edu.tw 的 upload 目录中, 等一, 两天, 读取权应
该就会开放了.
抓到解开後, 放在临时目录中, 再用滑鼠把它丢到 windows\fonts
中就可以了.
Dr Eye 2 磁片还魂记
第一、你必须有原版的磁片，并且已安装、注册。
(为什么要有这一步呢?? 就是请用原版 !!!!)
第二、copy dreye20\peadict\*.* ，其时只要有dict.exe
(如果要dict.exe不要找我，我不想作的太绝了)
第二可以改成 "省略" .
第三、到登录编辑程式(如果找不到那你的95 学分就不级格了)，
找∶
[HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\Explorer]
"link"=
"Version"=
^^^^^^後面的资料(资料不是一定的)不告诉你，问那些想当坏人的人
将登录档资料汇出 !!!!!!
第四、大功告成，以後在安装时就不用注册片来注册，
只要将dict.exe盖掉、登录档汇入就行了!!!!
第四可以改成:
A.「控制台」-「移除程式」-「Dr.Eye 2」 (只移注册, 不要全移掉
, 所以对话框选 No ),
B.用 RegEdit 把刚刚写出的 "登录档" 汇入!
C.塞在磁碟机中的那一片「还魂」的原版磁片, 就可以拿出来了.
另外有一件事就是它的磁片保护是怎么作的，我曾经去physical copy 磁片
可是没有用，这个能不能教教我!!!!
1.找不到雷射孔, 应该不是雷射保护.
2.用 Physical Copy 无效, 有可能是「弱磁位元」, 或则是「检查轨长」.
3.「弱磁位元」要用比较特朱的磁碟机来制作, 且会挑 User 方的磁碟机,
不适合薄利多销的产品.
4.「检查轨长」比较容易做. 且不容易 Copy , 因为要找到两台转速丝毫不差
的磁碟机有困难.
| 初学天地： |
| 问题答疑： |
| 网站介绍： |
|
杂志信箱：
|
| 投稿信箱：discoveredit@china.com |
| 答疑信箱：discoveranswer@china.com |
| 斑竹信箱：programhunter@china.com |