利用ProcessHacker轻松获取某软件http请求，从而提取Dll数据包

M3351AN · 发表于 2024-8-12 17:34

本帖最后由 M3351AN 于 2024-8-16 22:43 编辑

新人第一次发帖，望各位大佬不吝赐教

目标软件是一款俄罗斯游戏作弊软件
他的启动界面全是俄文，如果有小伙伴不注意，就会捆绑下载Yandex浏览器
虽然没有病毒的顾虑，但是这种流氓捆绑行为也确实让人感到困扰

界面完全是俄文

软件加载的原理，是从服务器上获取Dll文件的数据，再将其注入到游戏进程中
因为我的汇编知识基本为0，所以无论是通过逆向加载器本身还是从游戏进程中转储dll文件，对我来说难度都过大了

无需手动更新exe

该软件标榜无需更新加载器，能够自行获取最新的Dll，说明Dll数据是从服务器获取
想到此类软件通常通过捆绑下载的方式从软件厂商处获得盈利，利润微薄通常对服务器开销较为敏感，因此极有可能使用http请求的方式获取Dll数据

软件没有加壳

将加载器拖入exeinfope，发现没有加壳，那么起步就很轻松了

尝试在Hxd中搜索http

尝试将加载器拖入HxD中，搜索“http”字样，出现五十多条结果，但是显然都不是我们想要的
于是运行加载器，并使用ProcessHacker查找其内存

使用ProcessHacker

查找其内存中http字样

查找“http”字样，发现了捆绑下载yandex浏览器的http请求地址，但没有发现获取Dll数据的请求地址
于是点击加载，等待其界面出现"idet zagruzka dll"字样后使用ProcessHacker将加载器进程暂停，再次查找内存

开始获取dll

发现http请求地址

不出意外，顺利地获取到了获取Dll数据的http请求地址
将地址复制进浏览器，发现如下数据

数据中不存在乱码，推测是通过Base64加密，将开头一小段复制进在线工具中进行解密

成功解密出MZ头，说明该数据确实是可执行的PE文件经过Base64加密后的结果
于是将数据保存至本地，编写一段Base64解密程序，将数据包解密

在HxD中查看，发现解密后的数据带有完整的PE头，拖入ExInjector中进行注入，也显示注入成功
最后在Dll文件中略加修改

大功告成，可以和Yandex浏览器说拜拜了

LXGZJ237 · 发表于 2024-8-13 21:24

ProcessHacker停更了，官方继任者开发了新版本，名为systeminformer，官网https://systeminformer.sourceforge.io/

xixicoco · 发表于 2024-8-13 11:45

非常好的分析文章

小小小酥 · 发表于 2024-8-13 11:55

感谢大佬分享

Sand0630 · 发表于 2024-8-13 16:21

提示: 作者被禁止或删除内容自动屏蔽

xiangzz · 发表于 2024-8-13 17:16

Extreme Injector v3.7.2 by master131能分享下吗

AuroraVerses · 发表于 2024-8-13 19:05

感谢大佬分享

Sy666ovo · 发表于 2024-8-13 21:34

大佬牛逼又学到新东西了

elinkmi · 发表于 2024-8-13 23:21

大佬牛逼又学到新东西了

wfm324 · 发表于 2024-8-14 05:56

感谢大佬分享

帐号		自动登录	找回密码
密码			注册[Register]

Sand0630 Sand0630 当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	Sand0630 发表于 2024-8-13 16:21 提示: 作者被禁止或删除内容自动屏蔽
	如何快速判断一个文件是否为病毒！
	回复支持举报

[原创] 利用ProcessHacker轻松获取某软件http请求，从而提取Dll数据包