《程序多开器工作原理剖析(共4页).doc》由会员分享，可在线阅读，更多相关《程序多开器工作原理剖析(共4页).doc（4页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、精选优质文档-倾情为你奉上程序多开器工作原理剖析一、 背景以前使用QQ游戏玩一些小游戏，发现QQ游戏客户端没办法开两个。校内通也同样有这个问题，导致我不能同时开几个校内通。在网上下载了一个程序多开器，使用多开器开启的校内通可以打开两个一起“偷菜”（很久以前的事了）。程序多开器的原理我也大致有所了解，自己写的一些程序也会使用这些技术防止同一个进程多次运行。正好下载的程序多开器可以使用，就拿它开刀了。二、 分析过程程序多开器安装文件夹下有3个文件：双击打开程序多开器，出现主界面：点击【运行】时会调用API CreateProcess？IDA载入“程序多开器.exe”，从输入表中找到了CreateP
2、rocessA函数，查找参考后可以找到调用处的代码，直接F5得到伪代码：大致流程是先使用CreateSuspended参数启动待运行的程序，然后向进程中注入一个DLL，最后使用ResumeThread恢复进程运行。那么重点就落在了DLL注入和DLL中具体的功能了，CreateProcessWithDllInjection函数内部如下：注入的代码猜测一下不难理解，使用GetThreadContext获得待恢复进程的主线程环境，获得EIP和ESP，抬高栈顶申请局部空间，将DLL加载的汇编代码和当前线程环境信息写入到抬高后的栈中（DLL加载的代码中也包括了加载以后的线程环境恢复代码），修改线程的EI
3、P和ESP并调用SetThreadContext恢复线程环境，最后调用ResumeThread恢复进程运行。接下来是Dll中的代码了，先看看DLL中做了什么手脚吧。使用程序多开器启动一个程序，用XueTr.exe看看有没有Hook的代码，从应用层钩子-进程钩子中扫描到的Hook信息发下：从扫描到信息知道RtlGetLastWin32Error处存在inline hook，直接有一个jmp跳转。用IDA载入MyDll.dll后查找得到了faked_GetLastError函数:好了，原理我们大致清楚了：开启进程-注入DLL-DLL中inline hook GetLastError()函数，当真实
4、的GetLastError()返回ERROR_ALREADY_EXISTS时修改返回值为ERROR_SUCCESS。这样经过Hook后使用CreateMutex或CreateEvent然后调用GetLastError判断是否存在来防止多开的方式将不再起作用了。三、 代码实现具体代码实现请参考源代码。这里截一个图吧：四、 存在的不足从分析来看，Hook的代码只对Mutex和Event这两种方式处理。未找到共享内存、文件映射等方式的处理代码，如果要加上这些，还要进一步进行分析。第一次写此类文章，主要目的是想跟大家一起交流编程方面的各类技术，难免会出现一些错误，请大家指正，如果有什么问题大家可以加入上面的QQ群：，大家一起交流，共同进步。专心-专注-专业