这是星际争霸的一个外挂，穿山甲1.xx-2.xx的壳已经脱了，peid显示Borland C++ 1999，界面是VCL加了一个皮肤库。

外挂使用方式是首先注册一个用户，然后购买充值卡，输入充值卡号对账户进行充值。对账户和充值卡验证采用http Post传参，服务器返回结果进行验证。服务器的返回结果就是弹出对话框里显示的内容本身，比如点登录按钮后，传回来的Http载荷就是
用户: hsluoyz
注册日期: 2012-06-26 12:54:49
帐户信息: 账户注册成功
使用方法请查看:
http://www.scking.cn/free.htm

点充值按钮，传回来的就是
此卡号不存在。

我通过dede+PE Explorer找到了按钮事件的所在。我以为验证就在这里，od调试一天后发现弹出的对话框貌似只是照搬服务器返回结果，可能没有对这个返回值做什么解析。后来看到它使用步骤里有一句“进入游戏后，请稍微等待10-30秒”，我想功能上的话应该不需要10s吧，难不成就是为了防爆破，把验证放在timer实现？打开星际后，发现有了新的http请求，果然有验证，请求到http://www.minyao.com/sc/2120247.asp
Post参数是username=hsluoyz&password=123456&seed=0cf369be258ad1470cf369beE7689878&v=4E6951526A01FF10A1D0A9640085C074098B480857516A03FF10A1D4A9640085
返回值是一堆乱码。

http://bbs.pediy.com/showthread.php?t=128871
最后才在pediy搜出这位大大的文章，对外挂结构有了一个了解，他破的是1.9j版本，但应该区别不大。文章说scHelper.king里面是验证，但是是带壳调试的，vm那块就是壳的缘故吧，真心有点看不懂，但是我这里壳已经脱掉。我想问问接下来应该如何分析呢？咋定位到验证代码呢？

程序下载地址：
http://115.com/file/bea6mqq8#星际霸主1.9L.rar

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)