PE

起因 翻旧文件时找到一对 2018 年的易语言程序：一个叫「主程序」，一个叫「检查程序」。下面是主程序的源码，12 行 —— 整篇文章前半的结论全从这 12 行长出来，而检查程序那 10 行我是到第六节才把它解出来的： .版本 2 .程序集 程序集1 .子程序 _启动子程序, 整数型, , 本子程序在程序启动后最先执行 ' 病毒主程序 运行 (“shutdown -s -t 10000”, 真, #隐藏窗口) .判断循环首 (1 ＝ 1) 运行 (“shutdown -s -t 3”, 真, #隐藏窗口) .如果真 (进程_是否存在 (“looking.exe”) ＝ 假) 写到文件 (“C:\Windows\looking.exe”, #图片1) 运行 (“C:\Windows\looking.exe”, 真, #隐藏窗口) .如果真结束 .判断循环尾 () 返回 (0) 逻辑一眼看完：先挂一个 10000 秒（≈2.8 小时）之后的关机，然后进死循环 —— 每一圈重新挂一个 3 秒后关机，并且检查 looking.exe 还在不在，不在就把自己带的 #图片1 写成 C:\Windows\looking.exe 再拉起来。 ...

其他/辅助/植物大战僵尸阳光修改器.e，2016-04-13，1,755,148 字节，扫描产出 75,198 条串。 我第一个"改别人进程内存"的东西。方法在旗舰篇，这一篇的两个看点是：怎么量出"多少是别人的"，以及我在这一个文件上读错过一次。 一、我自己写的部分：1,520 字节就到头了 窗体区的全部产出： 480 _启动窗口 493 在程序启动后自动调入本窗口 770 PlantsVSzombies阳光修改器 ← 窗口标题 827 读当前阳光 944 读取当前阳光 984 当前阳光标签 1155 当前阳光： 1201 阳光设置 1316 确认设置阳光 1356 阳光编辑框 1519 100000 ← 编辑框的默认内容 就这些。两组功能： ...

为什么先讲这些 逆向这件事，工具可以换、题可以刷，但有一层东西不钉死就会一直翻车：你看到的长度、地址、数字，到底是多少字节。 这一讲就是把这个地基打平，然后讲拿到一个陌生文件的第一步该做什么。 一、只有一句话需要背：1 字节 = 8 位 其余全是推论，而且不同软件会故意让你记错。 Windows 自带的计算器切到「程序员」模式是入门阶段最划算的一个动作：它能同时显示 2 / 8 / 10 / 16 进制，每一位都能点着切换，还能看到 B（字节）、W（字）、D（双字）、Q（四字）这几个档位。 ...