-
-
[原创]微信打飞机变无敌，详细分析
-
发表于: 2013-8-11 11:13
-
坛友neite给出了个插件（http://bbs.pediy.com/showthread.php?p=1208300#post1208300），可以很方便的调成无敌模式以及取消，但是没有讲诉技术细节，花点时间用IDA看了下，发现还是挺容易实现的，和大家分享下分析过程，希望能帮到和我一样的菜鸟们。
纯属技术交流，切勿用于非法用途，否则后果自负。
打飞机游戏中，击落敌方战机或者死亡等都会有音乐效果，微信程序目录下有很多音乐文件，如图：
因为要实现无敌功能，我们就从game_over.mp3文件下手吧，这个就是游戏结束时候的音效，我们要分析下看什么情况会走到这个流程里进来，并且想办法修改跳转，让game永不over.
打开IDA的字符串索引窗口，搜索到game_over.mp3字符串
双击跳到字符串所在地址，连续两次查看交叉索引，可以看到这个字符串在一个叫killPlayer的函数被引用了。
发现killPlayer这个函数里面没什么判断，一进来就肯定game over了，所以继续查找对这个函数的引用，可以发现这个函数会被collisionDetection函数调用：
很明显，collisionDetection函数就是判断是否撞机了，如果撞机就killPlayer。在这个函数里，可以看到一个很明显的跳转，如果跳转成功，就会结束游戏，否则继续：
猜测NOP掉0B2A63E处的跳转皆可实现无敌，于是用DBG验证。
启动微信，查找微信进程号，GDB 附加
然后NOP掉跳转指令（4字节），并确认。(我用的是pp助手下的微信，貌似PIE标志位已经被清除，基址固定，不需要进行偏移转换，否则需要用info sh指令查看MicroMessenger的加载地址，加上偏移，算出内存真实地址)
然后输入命令c并回车，继续运行微信，去玩打飞机游戏，发现已经无敌了。
有个问题就是不死貌似就不能上传积分。。所以想死的时候就gdb断下，把跳转指令恢复即可。
纯属技术交流，切勿用于非法用途，否则后果自负。
打飞机游戏中，击落敌方战机或者死亡等都会有音乐效果，微信程序目录下有很多音乐文件，如图：
因为要实现无敌功能，我们就从game_over.mp3文件下手吧，这个就是游戏结束时候的音效，我们要分析下看什么情况会走到这个流程里进来，并且想办法修改跳转，让game永不over.
打开IDA的字符串索引窗口，搜索到game_over.mp3字符串
双击跳到字符串所在地址，连续两次查看交叉索引，可以看到这个字符串在一个叫killPlayer的函数被引用了。
发现killPlayer这个函数里面没什么判断，一进来就肯定game over了，所以继续查找对这个函数的引用，可以发现这个函数会被collisionDetection函数调用：
很明显，collisionDetection函数就是判断是否撞机了，如果撞机就killPlayer。在这个函数里，可以看到一个很明显的跳转，如果跳转成功，就会结束游戏，否则继续：
猜测NOP掉0B2A63E处的跳转皆可实现无敌，于是用DBG验证。
启动微信，查找微信进程号，GDB 附加
root# ps ax | grep MicroM
27017 ?? Ss 0:11.52 /var/mobile/Applications/C7119A9B-18E3-44C8-ACA7-FB31C0CC3F30/MicroMessenger.app/MicroMessenger
root# gdb -p 27017
然后NOP掉跳转指令（4字节），并确认。(我用的是pp助手下的微信，貌似PIE标志位已经被清除，基址固定，不需要进行偏移转换，否则需要用info sh指令查看MicroMessenger的加载地址，加上偏移，算出内存真实地址)
(gdb) set *(unsigned int*)0x00b2a63e = 0x46c046c0
(gdb) disassem 0x0B2A63E 0x0B2A63E+10
Dump of assembler code from 0xb2a63e to 0xb2a648:
0x00b2a63e <_ZNKSt8_Rb_treeISsSt4pairIKSsSsESt10_Select1stIS2_ESt4lessISsESaIS2_EE4findERS1_+171566>: nop (mov r8, r8)
0x00b2a640 <_ZNKSt8_Rb_treeISsSt4pairIKSsSsESt10_Select1stIS2_ESt4lessISsESaIS2_EE4findERS1_+171568>: nop (mov r8, r8)
0x00b2a642 <_ZNKSt8_Rb_treeISsSt4pairIKSsSsESt10_Select1stIS2_ESt4lessISsESaIS2_EE4findERS1_+171570>: b.n 0xb2a83c <_ZNKSt8_Rb_treeISsSt4pairIKSsSsESt10_Select1stIS2_ESt4lessISsESaIS2_EE4findERS1_+172076>
0x00b2a644 <_ZNKSt8_Rb_treeISsSt4pairIKSsSsESt10_Select1stIS2_ESt4lessISsESaIS2_EE4findERS1_+171572>: add r0, sp, #80
0x00b2a646 <_ZNKSt8_Rb_treeISsSt4pairIKSsSsESt10_Select1stIS2_ESt4lessISsESaIS2_EE4findERS1_+171574>: str r4, [sp, #56]
End of assembler dump.
然后输入命令c并回车，继续运行微信，去玩打飞机游戏，发现已经无敌了。
有个问题就是不死貌似就不能上传积分。。所以想死的时候就gdb断下，把跳转指令恢复即可。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
之前我打飞机没有排第一,这两天手打的,在好友里面排名第一了,150W+的分.
 我正准备尝试无越狱刷分. 不过最近太忙.还没有时间深入研究. 我的思路就如你所说的, 不过不是伪造,只是改包. 
|
|
|
|
|
|
|
|
|
不知你们修改包 是在IPHONE里面修改的? 还是在windows或者linux上修改的? 还是在模拟器之类的平台上修改的?
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
用IPHONE访问WEB.通过WEB来处理packet也算是在IP上处理了吧?
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
