动态修改/替换Exe

Question

每当我下载firefox的更新并应用它时，Kaspersky Antivirus会提醒我文件FIREFOX.EXE已被修改。我想知道他们是怎么做到的。有可能做一个简单的程序来演示这个技巧。就像可执行文件最初会显示“Hello，World！”在提示符上，当我替换/修改示例可执行文件时，它必须显示“Hello，World！Mod”。

谢谢。

Answer 1

我的印象是Firefox在有更新时运行另一个应用程序并退出。帮助应用程序然后替换.exe。这样，它就不会在运行时自行修改。

Answer 2

简单的方法是使用方法FindFirstChangeNotification。但我的猜测是反病毒使用system hook或其他一些机制在较低级别挂钩。

Answer 3

我不知道Firefox如何进行升级，但有许多常见的方法：

• 在允许它的文件系统上（如NTFS），然后重命名当前运行的.exe，写入其替换，然后链接到新的

• 有一个小的启动程序，在切换到主exe之前对其进行任何更新。

• 各种各样的技巧，包括让临时的exes跳到他们身边然后跳回来等等。

Answer 4

我正在用c ++搜索自修改代码。我认为程序可以通过从窗口中分离来修改自己