首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
[原创]某网三喊话call分析
发表于: 2021-8-8 13:14 6054

[原创]某网三喊话call分析

愿喜 活跃值
2021-8-8 13:14
6054

发包类型：

在游戏或者软件中基本上都是用的以下三种发包方式：

  1. 明文发包
  2. 加密发包
  3. 线程循环发包

我们在分析之前需要先搞懂目标是那种发包方式。

判断游戏发包方式：

  1. 线程循环发包所有功能堆栈返回地址基本上大同小异
  2. 加密发包在包文中没有明文内容

首先下send函数头部下断：

 

移动：

1
2
3
000000CAD7A0FDB8  00007FF660DC18FB  返回到 jx3clientx64.00007FF660DC18FB 自 ???
000000CAD7A0FE28  00007FF660A1A028  返回到 jx3clientx64.00007FF660A1A028 自 ???
000000CAD7A0FEC8  00007FFD8CF0628E  返回到 engine_lua5x64.00007FFD8CF0628E 自 ???

技能：

1
2
3
000000CAD7A0FDB8  00007FF660DC18FB  返回到 jx3clientx64.00007FF660DC18FB 自 ???
000000CAD7A0FE28  00007FF660A1A028  返回到 jx3clientx64.00007FF660A1A028 自 ???
000000CAD7A0FEC8  00007FFD8CF0628E  返回到 engine_lua5x64.00007FFD8CF0628E 自 ???

可以看出来这游戏明显是线程发包，在次在喊话试试：

1
2
3
4
5
6
7
8
9
00000007E2FFE1E8  00007FF660DC18FB  返回到 jx3clientx64.00007FF660DC18FB 自 ???
00000007E2FFE258  00007FF660B09C35  返回到 jx3clientx64.00007FF660B09C35 自 ???
00000007E2FFE298  00007FF660B0815D  返回到 jx3clientx64.00007FF660B0815D 自 jx3clientx64.00007FF660B09B60
00000007E2FFE2F8  00007FF660B0975B  返回到 jx3clientx64.00007FF660B0975B 自 jx3clientx64.00007FF660B07FF0
00000007E2FFE348  00007FF660BD4378  返回到 jx3clientx64.00007FF660BD4378 自 jx3clientx64.00007FF660B09610
00000007E2FFE388  00007FF6609CCDD5  返回到 jx3clientx64.00007FF6609CCDD5 自 jx3clientx64.00007FF660DBEE09
00000007E2FFE3A8  00007FF6609D0498  返回到 jx3clientx64.00007FF6609D0498 自 jx3clientx64.00007FF6609CD220
00000007E2FFE3C8  00007FF6609C84CA  返回到 jx3clientx64.00007FF6609C84CA 自 jx3clientx64.00007FF6609C78E0
00000007E2FFE3F8  00007FF660A6620C  返回到 jx3clientx64.00007FF660A6620C 自 jx3clientx64.00007FF6609C86C0

可以发现他真的很奇怪，喊话居然不是线程发包，查看包内容发下并没有我们所输入的123：

 

分析喊话call：

通过堆栈返回一直往上追到此call,这个call在下断时只有喊话会断下，所以姑且判断他是喊话call，但观察传参依旧是加密的，所以继续往上追：

1
2
3
4
00007FF660B08152 | 48:8BD3                  | mov rdx,rbx                             |
00007FF660B08155 | 49:8BCF                  | mov rcx,r15                             |
00007FF660B08158 | E8 031A0000              | call jx3clientx64.7FF660B09B60          |
00007FF660B0815D | 85C0                     | test eax,eax                            |

一直追到：

1
2
3
00007FF660BD436F | 884424 20                | mov byte ptr ss:[rsp+20],al             |
00007FF660BD4373 | E8 9852F3FF              | call jx3clientx64.*********          |
00007FF660BD4378 | 85C0                     | test eax,eax                            |

观察目标传参情况:

 

近聊发送123456：

1
2
3
4
5
6
7
1: rcx 0000019B79825EF0 L"呐惢翶"
2: rdx 0000000000000001
3: r8 0000000000000000
4: r9 0000000000000000
5: [rsp+20] 00000007E2FFE000
6: [rsp+28] 00000007E2FFDE50
7: [rsp+30] 0000000000000008

世界发送123456：

1
2
3
4
5
6
7
1: rcx 0000019B79825EF0 L"呐惢翶"
2: rdx 0000000000000020
3: r8 0000000000000000
4: r9 0000000000000000
5: [rsp+20] 00000007E2FFE500
6: [rsp+28] 00000007E2FFE3A0
7: [rsp+30] 0000000000000008

近聊发送789555：

1
2
3
4
5
6
7
1: rcx 0000019B79825EF0 L"呐惢翶"
2: rdx 0000000000000001
3: r8 0000000000000000
4: r9 0000000000000000
5: [rsp+20] 00000007E2FFE000
6: [rsp+28] 00000007E2FFDE50
7: [rsp+30] 0000000000000008

从此时可以看出如下：

  1. RCX不变，应该是一个绝对值
  2. rdx应该代表频道ID
  3. rsp+20
  4. rsp+28
  5. 内容长度

再次下断查看rsp+28与rsp+20：

 

rsp+28:

1
00000007E2FFDE50  0000010033323101  .123....

rsp+20:

1
00000007E2FFE500  0000019B271529E0  à).'....

此时可以看出rsp+28应该是我们的喊话内容，rsp+20暂时不清楚，但我跟了整个流程未发现程序有对他进行访问或者改写的地方，就随便传一个地址

代码喊话：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
int 喊话(const char* Msg, int 频道) {
    cout << "---------------------喊话Call调用开始-----------------------" << endl;
    PVOID64 参数1 = (PVOID64)(*(ULONG_PTR*)(JX3ClientX64 + 喊话参数偏移) + 喊话参数二级偏移);
    cout << "参数1=" << hex << (ULONG_PTR)参数1 << endl;
    char* MsgChar = (char*)malloc(strlen(Msg) + 2);
    memset(MsgChar, 0x01, strlen(Msg) + 2);
    strcpy(MsgChar + 1, Msg);
    cout << "MsgChar=" << MsgChar << endl;
    char* Addres = (char*)malloc(strlen(Msg) + 2);
    memset(Addres, 0, strlen(Msg) + 2);
    喊话Call Func = (喊话Call)(JX3ClientX64 + 喊话Call偏移);
    cout << "Call Addres=" << hex << (ULONG_PTR)Func << endl;
    ULONG_PTR Size = strlen(Msg) + 2;
    int ret = Func(参数1, 频道, 0, 0, Addres, MsgChar, Size);
    cout << "Func Return=" << ret << endl;
    free(MsgChar);
    free(Addres);
    cout << "---------------------喊话Call调用结束-----------------------" << endl;
    return ret;
}

效果：

 

结语：

创建了个用于交流的QQ群：662851495


[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)

最后于 2021-8-8 13:58 被愿喜编辑 ，原因：
收藏
免费 ・0
支持
分享
最新回复 (4)
委员长_
雪    币： 862
活跃值： (1832)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
它有驱动保护么？
2021-8-8 16:53
0
愿喜
雪    币： 9
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
3 楼
委员长_ 它有驱动保护么？
这你得自己去看下了
2021-8-8 17:22
0
lovehuai
雪    币： 19
活跃值： (739)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
为啥不搞它的lua 直接加载自己的lua
基三 wow 古剑Ol这些都是内置了lua的
2021-9-3 14:59
0
qa1368
雪    币：
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
5 楼
大佬  能找你有偿定制剑网3的脚本吗
2021-9-8 06:52
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//