单字节修改实现PC版微信多开

待我称王封你为后i 2021-11-02 03:32 391阅读 0赞

# 0x00 实现原理： #

通过互斥体进行判断是实现防多开最传统的方式之一

定位到关键判断的位置，并且修改程序跳转逻辑就可以实现多开

下面先介绍具体操作，然后介绍分析过程

# 0x01 具体操作： #

找到微信的安装路径，在目录下找到 WeChatWin.dll ：

[![9][]][9 1]

使用二进制工具打开该文件，并且定位到下图中的位置，然后修改成图中的数据(只需要修改图中箭头所指的一个字节)：

[![7][]][7 1]

修改完成之后记得保存，然后验证：

[![8][]][8 1]

# 0x02 分析过程： #

先正常启动一个微信，然后通过调试器启动一个微信，调试器首次断下之后在命令栏使用下面的命令设置断点：

> bp Kernel32.CreateMutexA
> 
> bp Kernel32.CreateMutexW

[![1][]][1 1]

查看断点是否设置成功：

[![2][]][2 1]

确认断点设置成功之后全速执行程序，调试器再次断下：

[![3][]][3 1]

可以发现命中了 CreateMutexW 的断点，同时可以在堆栈窗口看到该函数的参数

单步调试跟踪到调用的位置：

[![4][]][4 1]

到这里代码的逻辑结构就比较清晰了，修改上图2个箭头所指向的跳转指令的任意一处即可：

[![5][]][5 1]

这里将第一处位置的 je 指令修改为 jmp 指令，硬编码从 74 变成了 EB

同时记住这里的地址，在调试器中查看进程的模块列表：

[![6][]][6 1]

通过地址范围，可以确定该代码位于 WeChatWin.dll 这个文件中

可以在这段代码的附近选择一段可靠的硬编码作为 特征码

使用二进制工具打开 WeChatWin.dll 文件并通过特征码定位目标位置进行修改

文件具体修改过程参考前面 0x01 中的内容

转载于:https://www.cnblogs.com/DarkBright/p/10878553.html

[9]: /images/20211102/155f9ab3d3d3406184d8f8777d8a5e38.png
[9 1]: https://img2018.cnblogs.com/blog/1209902/201905/1209902-20190516223628258-1070801036.png
[7]: /images/20211102/fe2cfcf498324c1e806dd821d602c756.png
[7 1]: https://img2018.cnblogs.com/blog/1209902/201905/1209902-20190516223634042-420533445.png
[8]: /images/20211102/d28c5341650c49fc887ad8004973b909.png
[8 1]: https://img2018.cnblogs.com/blog/1209902/201905/1209902-20190516223652486-1730288138.png
[1]: /images/20211102/2060583206d243ba8832ef6e39081f2e.png
[1 1]: https://img2018.cnblogs.com/blog/1209902/201905/1209902-20190516223711004-22196749.png
[2]: /images/20211102/9f17aeedbb5944cc991c521a2a5b971b.png
[2 1]: https://img2018.cnblogs.com/blog/1209902/201905/1209902-20190516223721740-1122262552.png
[3]: /images/20211102/30fb380c914047ce83f29ea70e045280.png
[3 1]: https://img2018.cnblogs.com/blog/1209902/201905/1209902-20190516223737195-712444672.png
[4]: /images/20211102/70a069d91eca43a3ba588e7c2507cac2.png
[4 1]: https://img2018.cnblogs.com/blog/1209902/201905/1209902-20190516223819547-116087988.png
[5]: /images/20211102/fc49af4cdf3749ba8ffba7da51dbd48f.png
[5 1]: https://img2018.cnblogs.com/blog/1209902/201905/1209902-20190516223838804-1601498252.png
[6]: /images/20211102/0998fbb074be4387adc53036d063fc08.png
[6 1]: https://img2018.cnblogs.com/blog/1209902/201905/1209902-20190516223851947-1005040175.png