रिवर्स करने का समय ...

इसलिए पहली अप्रैल की मौत हो गई। किसी ने उस दिन नई Google नाक सेवा पर अपने उपकरणों को सूँघ लिया, किसी ने "चमत्कार के क्षेत्र" में खेला, और किसी ने भाग्य की तारीख के बारे में भूलकर, बस निराशा से चाक से अपनी पीठ हिला दी ...

Explorer.exe प्रक्रिया को अनुकूलित करने की छिपी संभावनाओं के बारे में लेख से प्रेरित होकर, मैंने भी कुछ मजेदार करने का फैसला किया।
विंडोज में मेरे दूसरे हाथ की घड़ी को आज वापस जाने दो! अर्थव्यवस्था में सबसे निश्चित रूप से उपयोगी नहीं है, लेकिन शैक्षणिक और मनोरंजक उद्देश्यों के लिए यह ठीक काम करेगा :)

मैंने घंटे और मिनट का हाथ सही दिशा में छोड़ दिया। कभी-कभी आपको अभी भी ट्रे में घड़ी को आधा खाना पड़ता है - उन्हें कम से कम एक मिनट की सटीकता के साथ समय दिखाने दें ...

ट्रेनिंग

क्रियाओं का क्रम लगभग निम्नलिखित प्रतीत होता है:

1. Explorer.exe का अन्वेषण करें और समझें कि यह समय कैसे गिनता है
2. तर्क में कुछ बदलना ताकि घड़ी वापस चली जाए

कुछ 32-बिट वरमोड प्रक्रिया के तर्क को बदलना मुश्किल नहीं है: यह लंबे समय से कई डिबगर ओलीडबग के लिए जाना जाता है, रूसी में भी इस पर बहुत सारे ट्यूटोरियल हैं। इसलिए, इसे एक मोड़ देने के लिए, मेरे 64-बिट विंडोज 7 पर कार्य को लागू करने का निर्णय लिया गया था - मैं लंबे समय से यह पता लगाना चाहता था कि दोहरे अंकों की क्षमता वाली क्या प्रक्रियाएं वहां रहती हैं ...

दुर्भाग्य से, डिस्सेम्बलर स्तर पर 64-बिट दुनिया में जीवन बहुत प्यारा नहीं है: न तो डिबगिंग के लिए आराम से ओली, और न ही सुविधाजनक डिटोर्स जिसके लिए आपको $ 9,999.95 से कम भुगतान करने के लिए नहीं कहा जाता है (ठीक है, $ 10k - मार्केटर्स के लिए धन्यवाद वे जानते हैं कि कीमत को और अधिक आकर्षक कैसे बनाया जाए)। 64-बिट dll को लागू करने के लिए पुराने 32-बिट इंजेक्टर का भी उपयोग नहीं किया जा सकता है। जाहिर है, मेरे डिफ़ॉल्ट खोज इंजन को कड़ी मेहनत करनी होगी ...

हां, स्थैतिक विश्लेषण के प्रशंसक मुझे माफ कर देंगे, मेरा आईडीए प्रो के साथ कोई संबंध नहीं है, इसलिए मेरे पास लगभग कोई विकल्प नहीं था - पुराने WinDbg ने पंखों में इंतजार किया।

WinDbg के साथ काम करने के मामलों में, सूचना का सबसे मूल्यवान स्रोत windbg.info संसाधन है ।

एक्सप्लोर करें एक्सप्लोरर

हम प्रक्रिया से जुड़ते हैं और " घड़ी " शब्द से संबंधित किसी चीज़ की तलाश करते हैं:



कार्यों की दी गई सूची में बेहतर explorer!CClockCtl::_RecalcCurTime , कोई भी असंगत फ़ंक्शन explorer!CClockCtl::_RecalcCurTime को नोटिस कर सकता है explorer!CClockCtl::_RecalcCurTime । क्या निशाने पर पहला शॉट सही है? आइए देखें कि अंदर क्या है:



यह सही है, फ़ंक्शन प्रोलॉग के ठीक बाद हम एक GetLocalTime कॉल देखते हैं, जो कि जैसा कि आप जानते हैं, स्थानीय समय और तारीख को लौटाता है। यदि हम इस फ़ंक्शन के रिटर्न परिणाम को प्रभावित कर सकते हैं, तो हम दूसरे हाथ की दिशा भी बदल सकते हैं - यह केवल इस फ़ंक्शन पर एक हुक लगाने के लिए बनी हुई है।

अपनी योजनाओं को कार्यान्वित करने के लिए, हमें किसी तरह से प्रक्रिया explorer.exe के पता स्थान में लाने की आवश्यकता है। और सीएलआई डीएलएल-इंजेक्टर कमांड-लाइन उपयोगिता हमें इसके साथ ही यथासंभव मदद करेगी। न केवल यह 32 और 64 बिट्स का समर्थन करता है, बल्कि यह दो तरीकों से डीएल को लागू करने का तरीका भी जानता है: लोडलॉउंस इंजेक्शन के माध्यम से, और राइटप्रोकेसमेरी के माध्यम से डायरेक्ट कोड राइटिंग का उपयोग करके, इसके बाद रीलो ट्रांसफर।

हम सीधे explorer.exe प्रक्रिया के अंदर हुक स्थापित करने के लिए सरल और विश्वसनीय MinHook पुस्तकालय का उपयोग करेंगे।

यह ध्यान देने योग्य है कि पुस्तकालय की स्पष्ट सादगी के पीछे, एक बहुत ही विचारशील तर्क है जो काफी जटिल मामलों में भी काम करता है। तो, पावरफुल x86 / x64 मिनी हुक-इंजन लाइब्रेरी, जिसे मैंने पहली बार उपयोग करने की कोशिश की, एक्सेस उल्लंघन का नेतृत्व किया, इस तथ्य के कारण कि GetLocalTime फ़ंक्शन का पहला निर्देश एक रिश्तेदार JMP संक्रमण है। इस मामले में, ऑफसेट को पुनर्गणना करने की आवश्यकता से कार्य जटिल है।

कार्यान्वयन

हमने औजारों पर फैसला किया। अब यह एक dll लिखना है, जो DLL_PROCESS_ATTACH के साथ GetLiveTime पर एक हुक लगाएगा:

 #include <windows.h> #include "MinHook.h" //    libMinHook.dll #pragma comment(lib, "libMinHook.x64.lib") //    GetLocalTime static void (WINAPI *GetLocalTime_)(LPSYSTEMTIME lpSystemTime); void WINAPI MyGetLocalTime(LPSYSTEMTIME lpSystemTime) { //   GetLocalTime GetLocalTime_(lpSystemTime); //   : 59 -> 0, 0 -> 59 lpSystemTime->wSecond = 59 - lpSystemTime->wSecond; } BOOL APIENTRY DllMain(HMODULE hModule, DWORD dwReason, LPVOID lpReserved) { switch (dwReason) { case DLL_PROCESS_ATTACH: //     ! //    ,  DllMain()       //   libMinHook if (MH_Initialize() != MH_OK) { return FALSE; } //   (      ) if (MH_CreateHook(&GetLocalTime, &MyGetLocalTime, reinterpret_cast<void**>(&GetLocalTime_)) != MH_OK) { return FALSE; } //   if (MH_EnableHook(&GetLocalTime) != MH_OK) { return FALSE; } } return TRUE; } 

हम प्राप्त dll का उपयोग करते हैं

अब आप dll लागू कर सकते हैं। हम निम्नलिखित कमांड के साथ कंसोल में इंजेक्टर लॉन्च करते हैं:

--Lib कुंजी में, dll के लिए पूर्ण पथ को पारित करना महत्वपूर्ण है, अधिक जानकारी के लिए यह टिप्पणी क्यों की जाती है

सब कुछ, आप परिणामों का आनंद ले सकते हैं! (सावधान, सम्मोहित करने वाला)

सूत्रों (VS2010 के लिए परियोजनाएं) और स्वयं-बीनिंग के लिए बायनेरिज़ यहां मिल सकते हैं ।