程序多开器工作原理剖析.doc.doc

程序多开器工作原理剖析一、背景以前使用 QQ 游戏玩一些小游戏, 发现 QQ 游戏客户端没办法开两个。校内通也同样有这个问题,导致我不能同时开几个校内通。在网上下载了一个程序多开器, 使用多开器开启的校内通可以打开两个一起“偷菜”(很久以前的事了)。程序多开器的原理我也大致有所了解, 自己写的一些程序也会使用这些技术防止同一个进程多次运行。正好下载的程序多开器可以使用,就拿它开刀了。二、分析过程程序多开器安装文件夹下有 3 个文件: 双击打开程序多开器,出现主界面: 点击【运行】时会调用 API CreateProcess ? IDA 载入“ ”,从输入表中找到了 CreateProcessA 函数,查找参考后可以找到调用处的代码,直接 F5 得到伪代码: 大致流程是先使用 CreateSuspended 参数启动待运行的程序,然后向进程中注入一个 DLL , 最后使用 ResumeThread 恢复进程运行。那么重点就落在了 DLL 注入和 DLL 中具体的功能了, CreateProcessWithDllInjection 函数内部如下: 注入的代码猜测一下不难理解, 使用 GetThreadContext 获得待恢复进程的主线程环境,获得 EIP 和 ESP ,抬高栈顶申请局部空间,将 DLL 加载的汇编代码和当前线程环境信息写入到抬高后的栈中( DLL 加载的代码中也包括了加载以后的线程环境恢复代码), 修改线程的 EIP 和 ESP 并调用 SetThreadContext 恢复线程环境, 最后调用 ResumeThrea d 恢复进程运行。接下来是 Dll 中的代码了,先看看 DLL 中做了什么手脚吧。使用程序多开器启动一个程序,用 看看有没有 Hook 的代码,从应用层钩子-> 进程钩子中扫描到的 Hook 信息发下: 从扫描到信息知道 RtlGetLastWin32Error 处存在 inline hook , 直接有一个 jmp 跳转。用 IDA 载入 后查找得到了 faked_GetLastError 函数: 好了, 原理我们大致清楚了: 开启