+ Các thứ cần có
- WPE Pro 0.9a download từ wpepro.net
- OllyDbg 1.1 download từ ollydbg.de
- Một tool hex edit bất kỳ VD: HxD Hex Editor
+ Các thao tác và mục đích
- Đổi nội dung file để đánh lừa checksum
- Đổi tên file thư viện dll tham chiếu
- Đổi tên các hàm mà WPE sử dụng
- Thay thế một số thư viện chuẩn
+ WPE sử dụng một số thư viện chính để thay đổi packet
-
WS2_32.dll
-
Wsock32.dll
-
WpeSpy.dll (Thư viện riêng của WPE có các hàm như sau)
GetFilterState
SetClientHwnd
SetFilter
SetFilterState
SetLoggingActi
SetTargetPid
+ Thay đổi tên file thư viện của WPE (WpeSpy.dll)
- Mở
OllyDbg lên open chọn
WPE PRO - modified.exe
- Click phải bất kì vào khung
Hex dump chọn Edit > Copy to executable
- Chuột phải chọn Search for > Binary String (hay nhấn Ctrl + B) trong ô ASCII nhập vào
WpeSpy.dll
- Quét chọn
WpeSpy trong phần ASCII chuột phải Edit > Binary Edit (hay nhấn Ctrl + E)
- Sửa lại trong ô ASCII thành tên bất kì miễn đủ 6 kí tự như cũ thôi VD:
ModWpe.
- Lặp lại thao tác tìm và đổi tên. (Nhớ chọn phần Entire block khi search, làm đủ 3 lần)
- Chuột phải Save file > Yes > Save as type: Executable file or DLL > Đặt tên khác VD:
ModWpe.exe
- Đóng OllyDbg lại, coi như xong phần đổi tên dll cho file .exe
+ Thay thế thư viện chuẩn (fake dll)
- Tìm file
WS2_32.dll và
wsock32.dll trong folder
C:\WINDOWS\System32 và cả
C:\Windows\SysWOW64 (nếu dùng
Win 64bit)
- Copy nó ra rồi rename thành tên bất kì nào đó VD:
WS2_64.dll và
wsock64.dll
- Mở
Hex Editor lên sau đó chọn mở file
WpeSpy.dll
- Chọn Search hay nhấn Ctrl + F, chọn Text String rồi nhập vào ô Search for >
wsock32.dll
- Đổi thành tên file ban nãy đã rename VD:
wsock64.dll
- Tiếp theo đổi tên mấy cái hàm mà WPE sử dụng luôn, VD
SetTargetPid thành
SetTargetSid, các hàm còn lại làm tương tự
- Save lại và đổi tên file thành tên ban đầu mình muốn VD:
ModWpe.dll
- Tương tự đổi tên mấy hàm đó cho file .exe luôn, Save lại là coi như xong,
- Kiểm thử thành quả thôi...