程序多开器工作原理剖析.doc

程序多开器工作原理剖析背景 以前使用QQ游戏玩一些小游戏,发现QQ游戏客户端没办法开两个。校内通也同样有这个问题,导致我不能同时开几个校内通。 在网上下载了一个程序多开器,使用多开器开启的校内通可以打开两个一起“偷菜”(很久以前的事了)。 程序多开器的原理我也大致有所了解,自己写的一些程序也会使用这些技术防止同一个进程多次运行。正好下载的程序多开器可以使用,就拿它开刀了。分析过程程序多开器安装文件夹下有3个文件:双击打开程序多开器,出现主界面:点击【运行】时会调用APICreateProcess?IDA载入“”,从输入表中找到了CreateProcessA函数,查找参考后可以找到调用处的代码,直接F5得到伪代码:大致流程是先使用CreateSuspended参数启动待运行的程序,然后向进程中注入一个DLL,最后使用ResumeThread恢复进程运行。那么重点就落在了DLL注入和DLL中具体的功能了,CreateProcessWithDllInjection函数内部如下:注入的代码猜测一下不难理解,使用GetThreadContext获得待恢复进程的主线程环境,获得EIP和ESP,抬高栈顶申请局部空间,将DLL加载的汇编代码和当前线程环境信息写入到抬高后的栈中(DLL加载的代码中也包括了加载以后的线程环境恢复代码),修改线程的EIP和ESP并调用SetThreadContext恢复线程环境,最后调用ResumeThread恢复进程运行。接下来是Dll中的代码了,先看看DLL中做了什么手脚吧。使用程序多开器启动一个程序,,从应用层钩子->进程钩子中扫描到的Hook信息发下:从扫描到信息知道RtlGetLastWin32Error处存在inlinehook,直接有一个jmp跳转。