程序多开器工作原理剖析

程序多开器工作原理剖析

一、背景

以前使用QQ游戏玩一些小游戏，发现QQ游戏客户端没办法开两个。校内通也同样有这个问题，导致我不能同时开几个校内通。

在网上下载了一个程序多开器，使用多开器开启的校内通可以打开两个一起“偷菜”（很久以前的事了）。

程序多开器的原理我也大致有所了解，自己写的一些程序也会使用这些技术防止同一个进程多次运行。正好下载的程序多开器可以使用，就拿它开刀了。

二、分析过程

程序多开器安装文件夹下有3个文件：

双击打开程序多开器，出现主界面：

点击【运行】时会调用API CreateProcess？IDA载入“程序多开器.exe”，从输入表中找到了CreateProcessA函数，查找参考后可以找到调用处的代码，直接F5得到伪代码：

大致流程是先使用CreateSuspended参数启动待运行的程序，然后向进程中注入一个DLL，最后使用ResumeThread恢复进程运行。那么重点就落在了DLL注入和DLL中具体

的功能了，CreateProcessWithDllInjection函数内部如下：

注入的代码猜测一下不难理解，使用GetThreadContext获得待恢复进程的主线程环境，获得EIP和ESP，抬高栈顶申请局部空间，将DLL加载的汇编代码和当前线程环境信息写入到抬高后的栈中（DLL加载的代码中也包括了加载以后的线程环境恢复代码），修改线程的EIP和ESP并调用SetThreadContext恢复线程环境，最后调用ResumeThread 恢复进程运行。

接下来是Dll中的代码了，先看看DLL中做了什么手脚吧。使用程序多开器启动一个程序，用XueTr.exe看看有没有Hook的代码，从应用层钩子->进程钩子中扫描到的

Hook信息发下：

用IDA载入MyDll.dll后查找得到了faked_GetLastError函数:

好了，原理我们大致清楚了：开启进程->注入DLL->DLL中inline hook GetLastError()函数，当真实的GetLastError()返回ERROR_ALREADY_EXISTS时修改返回值为ERROR_SUCCESS。这样经过Hook后使用CreateMutex或CreateEvent然后调用GetLastError判断是否存在来防止多开的方式将不再起作用了。

三、代码实现

具体代码实现请参考源代码。这里截一个图吧：

四、存在的不足

从分析来看，Hook的代码只对Mutex和Event这两种方式处理。未找到共享内存、文件映射等方式的处理代码，如果要加上这些，还要进一步进行分析。

第一次写此类文章，主要目的是想跟大家一起交流编程方面的各类技术，难免会出现一些错误，请大家指正，如果有什么问题大家可以加入上面的QQ群：275372932，大家一起交流，共同进步。