超级详细找CALL写CALL教程

1、精选优质文档倾情为你奉上精选优质文档倾情为你奉上专心专注专业专心专注专业精选优质文档倾情为你奉上专心专注专业原创超级详细找CALL写CALL教程首先说明，这个教程以一个找CALL的练习程序为例子。之所以不拿游戏，因为游戏找CALL时间长了，不适合做教程，而且本练习涵盖参数。我将说明为什么这么调用，为什么这么写！ 好的。偶们好的，偶们这节课需要用到的程序为【wygailf】制作的一个找CALL测试程序。首先感谢他！ 这个就是我们用到的程序，OK，打开他并且用OD附加进程！ 并使其进入“运行”状态 好的，下面我没开始找CALL，首先说明一下，CTRL+F9这个是“运行到返回”。为什么要按这个按钮？

2、就我的理解，假设把程序比做很多层的一个盒子，而CALL就是我们要从盒子里拿出来的东西。 那么，如果我们想拿出来CALL，怎么办？当然是打开盒子，取出盒子，再打开盒子，取出盒子而这个CTRL+F9就是这个打开盒子到取出盒子的过程。运行到返回，顾名思义，就是运行到RET（返回）截止。 而这个RET也正是跳出本层的一个关键点。每一个RET都有可能是一层。所以这样也就解释了为什么有的时候按三下CTRL+F9和四下CTRL+F9的原因了。 好，说的就这些。下面LETS GO！ 我们首先下断点bp send。 然后回车。如果不确定自己是否成功的下了断点。可以在OD中按ALT+B来查看 好的，这个就是我们下

3、的断点了。始终就是断点有效，也可以暂停断点。选择一个断点，敲空格。这个断点就变成了“禁用”。这样就算暂停了断点。OK这里不再赘述，我们开始。 = 首先，我们来个HP药水试试！ 在这里选择吃药。然后OD会断下！ 这里是程序断下的地方，我们可以看到下方有如下注释： SEND来自说明这里是send函数被断开的地方。 继续，CTRL+F9我每一步都会记录下来，一点一点给新手解释为什么！ 上图是我按下第一次CTRL+F9之后转到的RET。这里再顺便说一句。看到这里的RET 10了没有。这里是RET 10就是有4个参数的RET,一个参数占4个字节。那么按照这么说来应该是 RET 16才对啊。其实 这里的1

4、0是16进制的10，那么16=10（16进制）=4x4所以这里是RET 10。好，下面说正题：看到上面的CALL了没有。CALL WS2_32当你看到这个的时候，你就可以毫不犹豫的再次按下CTRL+F9了，说明你现在还在系统的范围内。还没有进入到程序。为什么系统跟程序不一样？因为程序是依托在WINDOWS平台运行的。那么如果程序要干什么事情，就要跟WINDOWS打声招呼。也就是SEND函数！程序跟系统说，我要做动作了，系统说批准，程序说我要喝药，系统说批准，程序说我去哪里喝药，系统说CALL！好的，这里的CALL就是我们需要的CALL了。:-) 第二次CTRL+F9，这里的CALL还是差不多，

5、还在系统层内。我们继续！ OK，以上是第三次按CTRL+F9所看到的信息。 看到这里了吗，已经是程序层了。也就说这里很有可能就是我们需要的CALL了。OK。我们来测试一下 好的，我们来看这一段 lewei2000提醒:以下几点解释有误,初学者略过,楼主还需深化汇编知识 看第一行：mov dword ptr fs:eax,edx 这里的意思是：将指针赋值到dword，后面有FS就是注释eax,edx其实就是将edx中的值复制到eax中，使eax和edx相等（由于版主的指正，这里要声明，此处的理解为自己的理解。并不是正规的解释方法，仅供参考而已）。 看第二行：push 入栈,入栈就是把一个数值放到

6、寄存器中，其实跟mov是一样的，那么这里push到哪里了呢？因为第一行eax已经被占用，那么这里就应该是ebx。也就说这里是赋值EBX。 看第三行：lea eax,pword ptr ss:edp-4。这里LEA指令指将操作结果保存到eax，好既然是eax我们就不管他了。至于是什么结果，我们一会看。 看第四行：CALL不解释。就是我们需要的东西。（但其实不是） 看第五行：ret 返回的意思。 好的，假设这段代码是我们需要的代码，那我们该怎么去表达它，在程序中如何去写？ 这里留个悬念，因为我事先测试过，这里不是我们需要的CALL，我就不说了。等找到正确CALL的时候我再讲解如何去写CALL。 好

7、继续CTRL+F9下图 看这里，跟上面一样，这个返回没用，我们继续CTRL+F9。 好，这里又出现了一个CALL，那我们想想是不是这个呢？如何去调用这个CALL？ 首先，我们要测试一下它是不是一个带参数的CALL，至于怎么测试呢？靠，那就用程序CALL一下呗！但这里的CALL是个有参数的CALL。我们继续。 我们如何知道这个CALL调用了什么参数？试想一下，CALL调用参数，要在哪里看？当然是在CALL中看了，如何看？那就让我们去CALL那里了，如何去？-断点！（周杰伦唱的） 好，在上面CALL那里下断点选择CALL，按F2 这里前面的地址变成了红色的。这样就算断点成功了，这里断了前面就不用断

8、了，我们在ALT+B中删除以前的SEND断点。（Delete键删除） OK，我们让程序恢复到运行状态！ 好，我们看到，测试程序中显示，使用了一个补血药品。OK，我们继续按“吃血”！ 好的，看到断点了没有，正好断在我们刚才下断点的地方。说明不管这个CALL正确与否，我们吃血的过程都要调用这个CALL，这样就离正确很接近了。 我们刚才说看CALL的参数，CALL的参数其实就是在调用CALL的时候所需要的运行环境，在什么条件下，CALL执行之后是吃血，什么情况下是吃蓝。 好的。我们现在利用到了寄存器。看寄存器中的提示，有两个红色，说明当我们调用CALL的时候，它使用了寄存器中的两个地址。那么这个就是

9、CALL的 运行环境了，也就是说，只要在我们调用这个CALL的时候，寄存器EAX中有值00D51FE4和寄存器ECX中有值0042ABE4就可以运行。这里还有一个特殊 情况，这里我先卖个关子。 这里也解释了上面的那个不是我们用到的那个CALL如何看参数！ 好，这里我们写一个小程序来调用CALL。 = 好，不管是不是这个CALL，我们先来测试一下 我是用delphi的，所以这里讲解delphi这里我还要多一嘴，其实语言只是工具，只要学会了道理，就不在乎语言的问题了，其实在我们这个阶段，语言的区分仅仅是命令不同而已 我会把如何写的理论告诉给大家。让大家知道花儿为什么这样红！o(_)o.哈哈 首先，

10、我们要调用一个程序的CALL，需要干什么。当然是指定这个程序啦！如何指定？如果这里您不知道，建议您去句柄那里好好修炼一下。 Hwnd:=FindWindow(1,2)=这里的Hwnd是个变量，为窗口句柄。FindWindow是一个找窗口句柄的命令，这里有两个参数，我用1和2代替。其中1在命令中应该是窗口类名。 2在这里应该是窗口标题。 GetWindowThreadProcessID(1,2)=这里的GetWindowThreadProcessID()也是个命令，是找窗口线程ID的一个命令，有两个参数。1代表窗口句柄，2代表赋值变量，这个变量就是我们 要把线程ID赋值给什么变量，可以这么写Ge

11、tWindowThreadProcessID(Hwnd,ThreadID); OpenProcess(1,2,3)=这个命令是打开进程并返回进程ID，有三个参数，分别为参数类型，句柄继承符，和线程ID.可以写为Pid:=OpenProcess(Process_all_access,false,ThreadID) Process_all_access就是打开进程的格式，我们这里使用全部格式就可以了。无需理解，这么写就好。 这里写好了，我们可以检测一下是否成功。 这里就是找线程ID了！下面写注入 过程注入函数 function TForm1.InsterGameFun(Hid:cardinal;F

12、unName:pointer):cardinal; var 要注入线程的窗口句柄和临时存放的句柄 TmpHandle: THandle; ThreadID: Thandle; ThreadAdd:pointer; WriteCount: DWORD; begin ThreadAdd := VirtualAllocEx(Hid, nil, 128, MEM_COMMIT, PAGE_EXECUTE_READWRITE);/在目标进程建立内存空间 WriteProcessMemory(Hid, ThreadAdd,FunName, 128, WriteCount);/将要注入的过程写到上面建立的内

13、存空间中 TmpHandle := CreateRemoteThread(Hid, nil, 0, ThreadAdd, nil, CREATE_SUSPENDED, ThreadID);/获得注入后过程的句柄ID result:=TmpHandle;/返回句柄ID end; 这里照抄也可以，反正就是这么写的，每步怎么个意思我也标示了。 注入也写了，窗口也获取了，剩下的就是写CALL了。 好的！我们看这个图片 记得我刚才说的EAX(00D51FE4)和ECX(0042ABE4)了吗？ 按照这里来说。只要我们写命令 pushed asm mov eax,$005D1FE4 mov ecx,$00

14、42ABE4 call $00452E98 popad 一般这样的命令就可以了。 但是我们这么写的时候却没有生效。那么一定是哪里出错了。我们对比两个图 我们对比两个图的寄存器中的值。 我们发现EDX中，值在返回之后度没有变化。也就是说这里EDX也有可能是环境因素之一。而ECX前后却有变化，那ECX是不是环境呢？ 我们做如下测试。 procedure HP; /吃红 var Address:pointer; begin Address:=pointer($00452e98); asm pushad mov eax,$00D51FE4 mov ecx,$0042ABE4 mov edx,$ cal

15、l Address popad end; end; 我们这么写，测试一下，成功！那么去掉ECX呢？也成功！ 这里就是EDX和EAX是真正的参数了。 = 好的，我这已经讲解的超级详细了，如果还有人不明白，那我真吐血了！ 以此类推就可以写出蓝，回城的CALL，呵呵，如果写不出来。那你看来还要重新看我的文章。 = 提问与解答 = Quote:引用第4楼wshichenyao2于2008-04-18 12:06发表的 : 我们发现EDX中，值在返回之后度没有变化。也就是说这里EDX也有可能是环境因素之一。而ECX前后却有变化，那ECX是不是环境呢？ 这句不太明白啊，call之前究竟是给变化的寄存器赋值

16、还是给不变的寄存器赋值啊？我被你搞混了噢。 呵呵 谢谢lz这么好的文章，希望能解答下我的问题。回答：这里的ECX不是环境之一，这个不一定就要一定不变才是因素，具体问题要具体分析，如果你想知道到底这个寄存器中的值在call后是否变化了，可以进入这个call看看这个call的具体运算方法。 Quote:引用第10楼ffzzfcll于2008-04-18 15:06发表的 : 但是我们这么写的时候却没有生效。那么一定是哪里出错了。我们对比两个图 回答：这里的两幅图不是没有添加，因为跟前面的图一样，所以附件并没有显示出来，这里的两幅图中对对比仅仅为了证明ECX的值前后不等其实没有别的却别。并不影响学习

17、。 Quote:引用第22楼leonta于2008-04-19 21:50发表的 : LZ 你简直无敌了 我一直都没看到过对新人来说如此好的教程 当然有点还是要给你提出来 断点 是张敬轩 唱的 不是周杰伦 周杰伦 唱的是 断了的弦 最后希望 楼主多写这么好的教程 我一定给你顶起回答：感谢您的指正，我对明星不怎么感冒，感觉上貌似是周董的歌，呵呵，弄差了！ Quote:引用第24楼flycat于2008-04-20 02:59发表的 : 通过这么详细的解说，终于CALL成功了！ 用VB写 回城与使用冰系CALL的代码 Sub HOME() 回城 Dim asm As New clsASM 回答:谢

18、谢您的分享！您的支持是我前进的动力！ Quote:引用第32楼黑爵士于2008-04-22 16:50发表的 : 以自己的方式来理解定义汇编语句？会误导不少人的。 不过思路上具有一定参考价值，文章风格很生动哦，楼主辛苦了，可申精就是不可能的啦:-)回答:555！版主啊版主，我发帖可不容易呢，一个上午的努力还换不来一个精华，真是对我积极性的打击呢o(_)o.不过您指正的错误我虚心接受！学无先后达者尊！ Quote:引用第40楼nasuer于2008-04-23 14:59发表的 : 建立remoteThread跟你的procedure吃红有什么关系呢？回答:这里的remoteThread应该是很

19、多大大们称之为远程注入的命令.只有注入了,才能对所注入程序中的汇编进行操作(个人意见而已) Quote:引用第41楼lccyy于2008-04-24 11:50发表的 : 楼主 非常感谢你的指点！我这里帮你更正一下！ 断在call前时EAX中的值应该是这样： call是连续按5次Ctrl+F9 EAX 00D51FEC ECX 0042ABE4 游戏找CA.0042ABE4 回答:这位朋友的信息贴出来以后我发现和我的差距着实非常的大,不仅很多寄存器中的值不相同,甚至连CALL都不一样.不知道您给我的指正您测试了没有?我这可是亲自测试的.并且有源代码等等.如果您并没有做相关的测试就来指正的话,恐

20、怕难以服众啊!不过也谢谢您的指正,人无完人嘛,我帖子里的错误也会很多的,希望各位大人多多指正! Quote:引用第56楼lewei2000于2008-04-29 22:09发表的 : 提醒过楼主错误的地方,但是依然没纠正,为免误导初学者,先取消精华. 错误处看32楼指出的,及另外几处汇编基础性的错误.回答:谢谢版主您的指正,我的偏离的方向正需要您无私的拨正! Quote:引用第58楼liujiangshu于2008-04-30 00:03发表的 : 胡说八道 回答:这位兄弟有错误我绝对虚心接受,我本身也是菜鸟,不是什么权威,错误是一定有的.但是您的这个评论未免有点武断! Quote:引用第60

21、楼hzyhaa于2008-04-30 09:16发表的 : 拿来开刀的那个程序，在那可以下到啊回答:针对于这个朋友的提问,我将附加上程序,以及delphi源代码! 最后我来提问:我看到过这个同样有这个教程的E语言的源代码,E语言的源代码中mov eax并我和我的格式一样,我的是直接传递值,而那位大师的则是mov eax,eax类似这样的格式.我想知道的是这些都是怎么来的?希望各位能多多指点! 此贴被gao6621在2008-05-04 10:00重新编辑 附件： 找CALL测试.rar (必须允许开新窗口) (174 K) 下载次数:1029 附件： 游戏找CALL练习实例one.rar (必

22、须允许开新窗口) (164 K) 下载次数:1020 本帖最近评分记录： 威望:+10(loneliness) 威望:+10(lewei2000)大型网游工作室诚寻实力作者合作，共谋发展。诚聘懂编程的技术员一名。QQ：2008-04-18 11:07 | 楼 主 wshichenyao2 级别: 一星会员精华: 0 发帖: 81威望: 57 点金钱: 49 银子贡献值: 0 点在线时间:84(小时)注册时间:2008-01-06最后登录:2009-05-08 谁能解答啊我们发现EDX中，值在返回之后度没有变化。也就是说这里EDX也有可能是环境因素之一。而ECX前后却有变化，那ECX是不是环境呢

23、？ 谁能解答啊2008-04-18 18:46 | 1 楼 flycat 级别: 新手上路精华: 0 发帖: 19威望: 30 点金钱: 36 银子贡献值: 0 点在线时间:8(小时)注册时间:2008-03-09最后登录:2008-08-16 图片： 通过这么详细的解说，终于CALL成功了！ 用VB写 回城与使用冰系CALL的代码Sub HOME() 回城Dim asm As New clsASMWith asm .Pushad .Mov_EAX &HD51F7C 与楼主找的 EAX(00D51FE4)有点不一样 .Mov_EDX &H45305C .Mov_ECX &H452E98 .Ca

24、ll_ECX .Popad .RetEnd With asm.Run_ASM pidEnd SubSub ICE() 使用冰系Dim asm As New clsASMWith asm .Pushad .Mov_EAX &HD51F7C .Mov_EBX &H452DF8 .Mov_ECX &H45307C .Mov_EDX &H1 .Call_EBX .Popad .RetEnd With asm.Run_ASM pidEnd Sub 此贴被flycat在2008-04-20 03:20重新编辑 2008-04-20 02:59 | 2 楼 gao6621 级别: GH小组I级成员精华: 0

25、 发帖: 58威望: 66 点金钱: 104 银子贡献值: 2 点在线时间:17(小时)注册时间:2008-03-27最后登录:2009-04-13 Quote:引用第12楼wshichenyao2于2008-04-18 18:46发表的 :谁能解答啊我们发现EDX中，值在返回之后度没有变化。也就是说这里EDX也有可能是环境因素之一。而ECX前后却有变化，那ECX是不是环境呢？ 谁能解答啊我这里说的环境是，是在调用CALL的时候寄存器里的环境，就想说领导要讲话了，下面的员工就要安静认真一样。这里的EDX和ECX都有可能是环境因素之一。我们不确定，只能去试，而这里我说，在调用之前，和CALL调用

26、的那一瞬间，ECX的值是发生了变化的，也就是说，ECX很多有可能不是我们需要的因素之一，因为他并没有限制到CALL的调用。这里应该了解了吧。也谢谢你仔细看我的文章，呵呵2008-04-22 09:01 | 3 楼 gao6621 级别: GH小组I级成员精华: 0 发帖: 58威望: 66 点金钱: 104 银子贡献值: 2 点在线时间:17(小时)注册时间:2008-03-27最后登录:2009-04-13 Quote:引用第24楼flycat于2008-04-20 02:59发表的 :通过这么详细的解说，终于CALL成功了！ 用VB写 回城与使用冰系CALL的代码Sub HOME() 回城

27、Dim asm As New clsASM这个帖子兄弟写的不错，但是还有一个因素，可能你没仔细看我文章后半部分。其实ECX不是因素之一，可以不加的2008-04-22 09:05 | 4 楼 黑爵士 级别: 二星会员精华: 0 发帖: 111威望: 74 点金钱: 850 银子贡献值: 0 点在线时间:40(小时)注册时间:2007-05-06最后登录:2009-05-05 Quote:看第一行：mov dword ptr fs:eax,edx 这里的意思是：将指针赋值到dword，后面有FS就是注释eax,edx其实就是将edx中的值复制到eax中，使eax和edx相等。 以自己的方式来理解

28、定义汇编语句？会误导不少人的。不过思路上具有一定参考价值，文章风格很生动哦，楼主辛苦了，可申精就是不可能的啦:-)CS本人枪法淫荡，意识下流，走位风骚 2008-04-22 16:50 | 5 楼 lccyy 级别: 新手上路精华: 0 发帖: 5威望: 21 点金钱: 28 银子贡献值: 0 点在线时间:9(小时)注册时间:2008-04-04最后登录:2008-05-29 楼主 非常感谢你的指点！我这里帮你更正一下！断在call前时EAX中的值应该是这样：call是连续按5次Ctrl+F9EAX 00D51FECECX 0042ABE4 游戏找CA.0042ABE4EDX 游戏找CA.EB

29、X 00D5485CESP 0012F664EBP 0012F7A0ESI 0042AAE0 游戏找CA.0042AAE0EDI 0012F7DCEIP 游戏找CA.C 0 ES 0023 32位 0(FFFFFFFF)P 0 CS 001B 32位 0(FFFFFFFF)A 0 SS 0023 32位 0(FFFFFFFF)Z 0 DS 0023 32位 0(FFFFFFFF)S 0 FS 003B 32位 7FFDF000(FFF)T 0 GS 0000 NULLD 0O 0 LastErr ERROR_SUCCESS ()EFL (NO,NB,NE,A,NS,PO,GE,G)ST0 em

30、pty 4.e-672ST1 empty 2.e-4354ST2 empty 3.e+1522ST3 empty +UNORM 6620 BFST4 empty 5.e-4932ST5 empty 0.0ST6 empty 0.0ST7 empty 15. 3 2 1 0 E S P U O Z D IFST 0000 Cond 0 0 0 0 Err 0 0 0 0 0 0 0 0 (GT)FCW 1372 Prec NEAR,64 掩码 1 1 0 0 1 02008-04-24 11:50 | 6 楼 lewei2000 好好学习天天向上级别: 论坛版主精华: 发帖: 987威望: 10

31、30 点金钱: 712 银子贡献值: 5 点在线时间:426(小时)注册时间:2007-01-16最后登录:2009-04-29 提醒过楼主错误的地方,但是依然没纠正,为免误导初学者,先取消精华.错误处看32楼指出的,及另外几处汇编基础性的错误.2008-04-29 22:09 | 7 楼 mat188 级别: 二星会员精华: 0 发帖: 166威望: 144 点金钱: 165 银子贡献值: 0 点在线时间:89(小时)注册时间:2008-01-11最后登录:2009-05-08 怎么会是我看到的数据和你看到的数据不一样啊 是不是我的 OD有问题 A1 DB A1 00 DB 00 00 DB

32、 00 . BA MOV EDX,游戏找CA. . E8 7AFEFFFF CALL 游戏找CA.00452E98E . C3 RETN怎么会是这样呢？2008-05-05 22:10 | 8 楼 cncqc 级别: 一星会员精华: 0 发帖: 42威望: 15 点金钱: 44 银子贡献值: 0 点在线时间:43(小时)注册时间:2008-01-20最后登录:2009-05-04 回楼主：eax 里面保存的是一个指针，你用CE查一下就知道为什么用 mov eax,eax，我前段时间查了一下好像是有两层。即 eax = 你教程里面的mov eax,$00D51FE4对超级详细找CALL写CALL

33、教程的补充+找CALL另外一法对于新手来说最鼓舞人心的事情莫过于做出看得见摸的着的成果了。超级详细找CALL写CALL教程一文描述的的确够详细，虽然有一点点小的失误，但不可否认是一篇新手入门的好文。不过在最后，调用喝血Call之前的环境配置中，mov到eax去的值并不总是固定的，你重新开一次就有可能变成别的了。想看到结果只能在ollydbg里面不停的ctrl+F2.mov到eax的值该怎么确定呢？打开CE，挂接“游戏找CALL联系实例one”进程，然后搜索要mov到eax去的那个值，搜索到很多地址，取第一个（一方面是因为调试就需要大胆猜测，小心求证，另一方面熟悉点windows内存空间分布你就

34、会发现这个地址可能性最大。）记下这个地址:00456D68（这个地址起始就是基址了，我验证过，如果不是的话可以继续往上找）。下面是验证过程：重新开一次“游戏找Call练习实例one”，还是用ollydbg断在call的地方，查看这时候mov到eax去的值是什么，然后用ce挂接“游戏找Call练习实例one，搜索下这个值或者直接查看00456d68处的值，你会发现，00456d68处的值就是要mov到eax去的值。另外一个mov到edx去的值是固定的。至此，这个问题完美解决了。附代码VC下写的：DWORD _stdcall Call_HP(void *p1) unsigned long p =

35、0 x00452e98; unsigned long a = *(unsigned long *)p1, b = 0 x; _asm PUSHAD MOV eax, a MOV edx, b CALL p POPAD return 0;void CT1Dlg:OnFdwindow() / TODO: Add your control notification handler code here CString wndText; GetDlgItemText(IDC_EDIT1, wndText); HWND hwnd = :FindWindow(NULL, wndText); if (hwnd = NULL) AfxMessageBox