随意提取“EXE录像加密”中的录像文件

发表于6月 16, 2009由zer0wind
前些日子在verycd上下载了几个ccna教学视频，下载完成后我的小红伞就报警了，原来是视频作者用了一个叫“EXE视频专用加密器”的软件给视频加了个壳。这个壳功有防盗版的功能，比如：它会自动关闭任务管理器，资源管理器，屏蔽复制，粘贴，剪贴版等，还可以自己定义屏蔽的程序来防止翻录视频。简单分析一下它的执行过程，执行加壳后的程序会出现一个提示框，要求输入授权码（我下的视频作者提供了授权码），这里直接输入正常的授权码后，程序会在C盘创建一个名为china-drm的目录，在这个目录中释放一个名为chinadrm.exe的文件并执行它，这个chinadrm.exe用delphi6编写，有一个FORM和一个TIMER组件，作用是上面提到的防翻录。然后程序将真正的视频文件解压到china-drm目录中的一个很深层的目录并命名为exeplay.exe，见下图，这里只要将这个exeplay.exe复制出来就可以了。
复制出来真正的视频的要用到的软件有Process Explorer，Wsyscheck
步骤：执行加壳的视频文件，输入授权，视频开始播放，按暂停，按ALT+TAB切到桌面，执行Process Explorer，找到chinadrm.exe后，右键点suspend，让进程挂起，然后右键点chinadrm.exe上面那个没有名字的进程，见下图，同样点suspend，作用就是让壳停止运行。最后执行wsyscheck.exe，点Explorer标签，进入C盘的china-drm目录，进入此目录中子目录（大概有12层），最会发会现一个名为exeplay.exe，这时右键点击后选择sendto—》Any Folder，然后在出现的对话框中选择要保存的目标目录，点OK！最后用Process Explorer把chinadrm.exe和它上面没有名字的进程KILL掉！注意这个文件是隐藏文件，复制出来看不到的话，就去文件夹选项中设置一下查看隐藏文件即可。

Process Explorer

Wsyscheck

此条目发表在Uncategorized分类目录。将固定链接加入收藏夹。

5 Responses to 随意提取“EXE录像加密”中的录像文件

  1. 王说道：
    7月 16, 2009 8:10 上午

    您的随意提取“EXE录像加密”中的录像文件的文章，我已经拜读过了，按您的方法我试了我有的视频教学文件，但是没有成功。我发现我的视频教学文件和您提及的文件有相似的地方但又有不同，我有的这个视频文件是exe的，在c盘也创建china-drm文件夹，但是里面只有一个ini配置文件，存放的是密钥，（我购买了），视频运行时不封锁资源管理器，但不能复制粘贴，不能运行录屏幕的软件。用您提到的工具，没有在进程中找到chinadrm.exe，也没有在china-drm目录内发现除了ini文件的外的其他隐藏文件或文件夹（Wsyscheck），用Process Explorer暂停了这个视频exe的进程，但也仅有这一个进程显示在Process Explorer中，暂停后视频文件暂停了但仍然不能粘贴复制，我认为有隐藏进程没有中止，但我找不到了，没运行视频exe前系统23个进程运行后24个，用Process Explorer看的。不知道能不能突破这个新的加密方式，希望您有时间能指点一下。谢谢

    回复
  2. bg说道：
    11月 19, 2009 7:22 上午

    高手有没遇到过另外一种加密视频。即：加密视频+LPK.DLL不需要输入授权码就能播放。这种加密视频按你上面的操作就没有CHINADRM.EXE进程

    回复
  3. 峰说道：
    2月 1, 2010 9:37 上午

    我的问题也是c盘有这个文件夹里只有一个ini文件,请问怎么破解

    回复
  4. Zer0说道：
    2月 5, 2010 7:45 上午

    发到我的邮箱里chiangu[at]hotmail.com 帮你看看

    回复
  5. 霞倩说道：
    3月 10, 2010 3:27 下午

    我的邮箱是LDJ123@163.COM, 请你发信与我联系.

    回复

留下评论