貌似找到去PEcmd 2.8.332.2868 logo的方法！

wanghh

00405B1B /$ 55 push ebp
00405B1C |. 8D6C24 88 lea ebp, dword ptr [esp-78]
00405B20 |. 81EC 4C030000 sub esp, 34C
00405B26 |. A1 04304100 mov eax, dword ptr [413004]
..........
00405BE8 |. 33C0 xor eax, eax
00405BEA |> 66:8B0C85 1826400>/mov cx, word ptr [eax*4+402618]
00405BF2 |. 66:03C8 |add cx, ax
00405BF5 |. 66:41 |inc cx
00405BF7 |. 66:894C45 D4 |mov word ptr [ebp+eax*2-2C], cx
00405BFC |. 40 |inc eax
00405BFD |. 83F8 28 |cmp eax, 28
00405C00 |.^7C E8 \jl short 00405BEA

上面的内存单元[402618]内容如下：
00402618 1F 00 00 00 2B 00 00 00 1D 00 00 00 53 00 00 00 ...+......S...
00402628 64 00 00 00 68 00 00 00 49 00 00 00 3D 00 00 00 d...h...I...=...
00402638 17 00 00 00 39 00 00 00 64 00 00 00 61 00 00 00 ...9...d...a...
00402648 60 00 00 00 53 00 00 00 5F 00 00 00 54 00 00 00 `...S..._...T...
00402658 54 00 00 00 60 00 00 00 0D 00 00 00 14 00 00 00 T...`..........
00402668 38 00 00 00 59 00 00 00 4D 00 00 00 51 00 00 00 8...Y...M...Q...
00402678 4D 00 00 00 4F 00 00 00 4A 00 00 00 48 00 00 00 M...O...J...H...
00402688 03 00 00 00 24 00 00 00 5A 00 00 00 00 00 00 00 ...$...Z.......
00402698 2B 00 00 00 56 00 00 00 49 00 00 00 0D 00 00 00 +...V...I.......
004026A8 11 00 00 00 0D 00 00 00 11 00 00 00 01 00 00 00 ..........
...
以上内存单元内容加上其位置值就是真实内容。譬如[00402618]=1F，其位置=1，1F+1=20，
就是空格字符；又如[402624]=53，位置=4，53+4=57，就是大写W字符；依此类推，最后结果
存在堆栈[ebp-2C]内存中。
[ebp-2C]= - Winpe Commander (Modified By Lxl1638)

00405C02 |. 33C0 xor eax, eax
00405C04 |> 66:8B0C85 B826400>/mov cx, word ptr [eax*4+4026B8]
00405C0C |. 66:03C8 |add cx, ax
00405C0F |. 66:41 |inc cx
00405C11 |. 66:898C45 34FFFFF>|mov word ptr [ebp+eax*2-CC], cx
00405C19 |. 40 |inc eax
00405C1A |. 83F8 0F |cmp eax, 0F
00405C1D |.^7C E5 \jl short 00405C04

内存单元[4026B8]内容如下：
004026B8 22 00 00 00 4A 00 00 00 35 00 00 00 50 00 00 00 "...J...5...P...
004026C8 33 00 00 00 4C 00 00 00 2D 00 00 00 28 00 00 00 3...L...-...(...
004026D8 27 00 00 00 38 00 00 00 29 00 00 00 2C 00 00 00 '...8...)...,...
004026E8 17 00 00 00 23 00 00 00 25 00 00 00 00 00 00 00 ...#...%.......
跟前面一样计算方法，最后解密结果为：
[ebp-CC]= #L8T8R400B48$14
这就是PECMD的TEXT命令用来显示[ebp-2C]内容的位置与字体。

00405C1F |. 8D85 34FFFFFF lea eax, dword ptr [ebp-CC]
00405C25 |. 50 push eax ; /<%s>
00405C26 |. 68 9C2B4000 push 00402B9C ; |2.7.831.2302
00405C2B |. 8D45 D4 lea eax, dword ptr [ebp-2C] ; |
00405C2E |. 50 push eax ; |<%s>
00405C2F |. 68 B82B4000 push 00402BB8 ; |PECMD
00405C34 |. 68 C42B4000 push 00402BC4 ; |%s%s , V%s%s*
00405C39 |. 68 00634100 push 00416300 ; |s
00405C3E |. FF15 FC124000 call dword ptr [<&USER32.wsprintfW>] ; \wsprintfW

调用API函数wsprintfW来格式化上面字符串，存在[00416300]单元中，容易看出其结果为：
PECMD - Winpe Commander (Modified By Lxl1638)，V2.7.831.2302#L8T8R400B48$14

00405C44 |. 83C4 18 add esp, 18
00405C47 |. 393D B8624100 cmp dword ptr [4162B8], edi ;比较是否显示字符串
00405C4D 74 4C je short 00405C9B ;相等不显示，可以改为jmp，亦即74->EB
00405C4F |> 68 00634100 push 00416300 ; /<%s> = ""
00405C54 |. 8D85 2CFDFFFF lea eax, dword ptr [ebp-2D4] ; |
00405C5A |. 68 7C2B4000 push 00402B7C ; |%s
00405C5F |. 50 push eax ; |s
00405C60 |. FF15 FC124000 call dword ptr [<&USER32.wsprintfW>] ; \wsprintfW
00405C66 |. 6A 01 push 1
00405C68 |. E8 2DFEFFFF call 00405A9A
00405C6D |. 8D85 2CFDFFFF lea eax, dword ptr [ebp-2D4]
00405C73 |. 50 push eax
00405C74 |. C705 2C3D4100 FFF>mov dword ptr [413D2C], 0FFFFFF
00405C7E |. E8 38000000 call 00405CBB ;调用写字符串子程序
00405C83 |. 83C4 14 add esp, 14
00405C86 |. 68 D0070000 push 7D0 ;/Timeout=2000.ms
00405C8B |. FF15 64104000 call dword ptr [<&KERNEL32.Sleep>] ;\Sleep
00405C91 |. 6A 00 push 0
00405C93 |. E8 02FEFFFF call 00405A9A
00405C98 |. 83C4 04 add esp, 4
00405C9B |> 8B4D 74 mov ecx, dword ptr [ebp+74]
00405C9E |. A1 B8624100 mov eax, dword ptr [4162B8]
00405CA3 |. 5F pop edi
00405CA4 |. 5E pop esi

这个子程序只要修改00405C4D这一行，亦即74改为EB就达到不显示字符串目的，不过更好方法还是不去
调用它，毕竟它会占用CPU周期与内存。它是被下面子程序来调用的：

00409A14 |. 53 push ebx
00409A15 |. E8 4BBFFFFF call 00405965
00409A1A |. 59 pop ecx
00409A1B E8 FBC0FFFF call 00405B1B ;这里调用上面，把它改为nop就好
00409A20 |. EB 20 jmp short 00409A42
00409A22 |> 53 push ebx

wanghh

原理可能跟这是一样的。

沙漠之子

既然,有那么多汇编高手在,不知是否能解决以下vista在winxp的winpe中不能安装的问题呢

另:我认为可从以下文件列表在winep环境下研究起
    lang.ini
    wdsutil.dll
    wdscore.dll
    winsetup.dll
    unbcl.dll
    migisol.dll
    unattend.dll
    input.dll
    xmllite.dll
    setup.exe
文件来自vista光盘

风铃夜思雨

哈哈
对vista很不感冒，第二代WINME

lxl1638

原帖由 风铃夜思雨 于 2007-5-1 01:40 PM 发表
哈哈
对vista很不感冒，第二代WINME

MM？希望你是MM，玩过Delphi的KOL没？若玩过，能否将 http://kolmck.net/demos/DemoShellBrowser.zip 完善一下，加入双击打开文件或目录，右键出现常规菜单的功能，这个ShellBrowser做得很小，占内存也小，想将它作PE的SHELL，看能否做成一个64M内存启动的PE来。

弄潮儿-NET

固计不是MM，不过可能是处的……

风铃夜思雨

找不到KOL组件包，其官方主页的文件一块块的，东一个文件西一个文件的

其实只要接管其ContextMenu上下文菜单创建到MENU中即可

弄潮儿-NET

果然是高手呀，一语点破天机……

KOL你可以到这里下载：
http://kolmck.net/

风铃夜思雨

原帖由 弄潮儿-NET 于 2007-5-1 03:28 PM 发表
果然是高手呀，一语点破天机……

KOL你可以到这里下载：
http://kolmck.net/

官方主页的文件一块块的，东一个文件西一个文件的，根本就不知是那个，要一个一个下载，晕死

其实不一定要用KOL组件才能写出小程序

我用DELPHI2编译一个带窗口，TREEVIEW，LISTVIEW，没做任何处理，大小180K

如果DELPHI2编译窗口改用为API创建的空白窗口，无其它代码，大小25K

此编译没做任处理，如果做简化代码的话，可以更小

[ 本帖最后由 风铃夜思雨 于 2007-5-1 04:17 PM 编辑 ]

lxl1638

原帖由 风铃夜思雨 于 2007-5-1 02:59 PM 发表
找不到KOL组件包，其官方主页的文件一块块的，东一个文件西一个文件的

其实只要接管其ContextMenu上下文菜单创建到MENU中即可

这个我知道，但没有过KOL包，想可能你玩过才问。

另，你不象是酒店的MM啊，酷文闪存大师可是你的作品？

lintel

专程路过一下.....请提供一下HEX转汇编语言的说明.

风铃夜思雨

原帖由 lxl1638 于 2007-5-1 05:07 PM 发表


这个我知道，但没有过KOL包，想可能你玩过才问。

另，你不象是酒店的MM啊，酷文闪存大师可是你的作品？

KOL好是好，就是用起来太麻烦了

呵呵，是GG OR MM，这个我就保留了，嘻嘻

酷文闪存大师是我前年写的，现在都不想用VB

[ 本帖最后由 风铃夜思雨 于 2007-5-1 05:48 PM 编辑 ]

风铃夜思雨

原帖由 lintel 于 2007-5-1 05:15 PM 发表
专程路过一下.....请提供一下HEX转汇编语言的说明.

HEX格式文件？还是？

弄潮儿-NET

原帖由 <i>lxl1638</i> 于 2007-5-1 05:07 PM 发表 <a href="http://bbs.wuyou.net/redirect.php?goto=findpost&pid=1052418&ptid=104615" target="_blank"><img src="http://bbs.wuyou.net/images/common/back.gif" border="0" onload="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" onmouseover="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.style.cursor='hand'; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" onclick="if(!this.resized) {return true;} else {window.open('http://bbs.wuyou.net/images/common/back.gif');}" onmousewheel="return imgzoom(this);" alt="" /></a><br />

<br />

<br />
这个我知道，但没有过KOL包，想可能你玩过才问。<br />
<br />
另，你不象是酒店的MM啊，酷文闪存大师可是你的作品？

<br />

看名字像MM，看技术水平像GG，连本处男都不研究人家是不是MM了，你一个大男人去研究这个干嘛……莫非……

xiaoy

肯定是个GG，就像楼上的处男

xiaoy

原帖由 lxl1638 于 2007-5-1 01:50 PM 发表

想将它作PE的SHELL，看能否做成一个64M内存启动的PE来。

非常期待，我有台IBM的本本才96M

neo4026

原帖由 沙漠之子 于 2007-5-1 01:31 PM 发表
既然,有那么多汇编高手在,不知是否能解决以下vista在winxp的winpe中不能安装的问题呢

另:我认为可从以下文件列表在winep环境下研究起
    lang.ini
    wdsutil.dll
    wdscore.dll
    winsetup.dll
...

找到关键跳了就好办...
偶菜 交给楼主高手搞定

zhao

按照楼主的方法修改成功，加载logo时没有了版本信息. 修改系统托盘提示没成功，这个不重要了

老九说修改该程序会造成pe运行不稳定，不知道指的是什么

[ 本帖最后由 zhao 于 2007-5-5 04:55 PM 编辑 ]

xintiandi

我把jnz改为jmp后，到pelogon.exe里面修改了字符串ID103处的Type TrayIcon MenuTip in here，但托盘区提示还是没有改过来。

fage

原帖由 xintiandi 于 2007-5-5 03:03 AM 发表
我把jnz改为jmp后，到pelogon.exe里面修改了字符串ID103处的Type TrayIcon MenuTip in here，但托盘区提示还是没有改过来。

这样貌似不行！！

lxl1638

原帖由 fage 于 2007-5-5 05:39 PM 发表


这样貌似不行！！

有些版本可以，有些不可以，本人也记不清了，反正一定有人可以的。

fage

稳定大过一切，我还是不去动它了......

xintiandi

这个都要看版本啊。我改的是8.3版。试了不行。

haonan3344

好多高人a ～～～:D :D :D :D

armymangl

我用8.3版的，启动后托盘怎么什么都没有啊，没看到那个什么菜单:L

xintiandi

那是用老毛的pe就不会有托盘图标。用老九的32m那个就有的。

fage

好像要按ctrl+alt+m,它才会出来．

xywlty

晕！！爆破技术用到这里来了！！虽然没有这样做过，不过看到跳转到下一

步骤，这种情况理论上是能通过的！只是跳过了显示版本LOGO字符的操作

应该对后面的文件没有损失！！

lxl1638

新版可能不行了，因为在此之前设置了一个全局逻辑变量，这个变量会在显示版本LOGO赋一次新的值，若这个值没有改变，下来的..................，就公布那么多。

ssk7793

汇编,看不懂,学习学习~