[原创]某传奇封包解密-逆向工程-看雪安全社区｜专业技术交流与安全研究论坛

# 一、前言
  夜深人静.作为一名资深的导管选手.熟练的打开了<mark class="encrypted">dd2K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4S2^5P5q4)9J5k6h3y4G2L8b7`.`.</mark>
 ![](upload/attach/202204/878559_92A946MTHSDXJJN.jpg)
一顿操作之后像往常一样准备关机睡觉.突然发现不知道什么时候桌面出现了一个xxx.apk的东西.于是乎怀着好奇的心放到模拟器准备瞧一瞧!
 ![](upload/attach/202204/878559_FGSZKPHRKM62JNA.png)看到这个图标就感觉事情不简单. 好家伙！这不 
是XD就来干我 大噶好 我系渣渣辉吗![](upload/attach/202204/878559_98XMBA5XXCC8TD7.jpg)
由于最近异常无聊在研究封包这些东西.哼~人家不找你你倒主动送上门了.讨厌~
拿来吧你.
# 二、发包函数
总所周知.常见的发包函数有send.sendto.WSASend 以及重新实现的发包函数等.
通过发包函数可以定位到一些功能.比较常见的发包流程如下图：
 ![](upload/attach/202204/878559_B9D2VE7BUYDDEPQ.png)
但是现在的网游不会像多年前的网游一样,一个bp send 送你全套功能call以及明文发包,有的游戏你想找到真正的发包函数,都要消耗大量的精力.再或者当你跳出一个线程发包时你会发现你又来到了另外一个线程.
# 三、动态分析
 ![](upload/attach/202204/878559_DZ32F6FCYYJSX7Q.png)
通过观察发现不管是发送还是接收封包头部都会出现]TRA][nA]TRA]TRA]TRA]TRA]等字样.由此可以确定使用同一种加密.

那么想要查看封包的内容我们就必须解密或者找到明文包组包的位置.由于模拟器的限制并不能使用PC的工具.于是乎在网上搜索一番之后得到可以使用ceserver等工具.但是ceserver也有很多的bug.总是卡模拟器以及异常崩溃等等.
这里给大家推荐一个Android的Dbg.全名A64Dbg.可以在GitHub下载使用.
经过一系列尝试之后.发现A64Dbg里面没有游戏的主模块.这个本人也不熟悉Android.不知道是否被做了处理. ![](upload/attach/202204/878559_7RX7BJVKZSVYRXQ.png)
![](upload/attach/202204/878559_AF8G3SH8KYRB6RC.jpg)
好吧.此路不通. 那就IDA大法.
 ![](upload/attach/202204/878559_YW48JDR8WS4HRBR.png)
# 四、静态分析
解压得到游戏.so文件拖入IDA.既然游戏需要发包.尝试是否可以搜到send相关的字符串. ![](upload/attach/202204/878559_YKM7H2X94GCBWGK.png)
我的天这么多太费事.苦力活咱不干.偶然发现.so的文件可以直接查看到function name.通过对send函数的交叉引用找到游戏发包位置伪代码.加密call以及BitMask.意外的发现还有DecodeBitMasks.
 ![](upload/attach/202204/878559_ECPPEYPQA3JH822.png) ![](upload/attach/202204/878559_Q699D4Q526WDAR8.png) ![](upload/attach/202204/878559_7A4SWQ32FWE5HZ2.png)
![](upload/attach/202204/878559_7S784UPU9BDW3WU.jpg)
激动的心颤抖的手.气质挠一下就上来.抄就完了.
# 五、解密

```
    std::vector<int> __fastcall Encode6BitBuf(std::vector<int> result, unsigned int a3, unsigned int* a4)
    {
        int v4; // r8
        int v5; // r5
        unsigned int v6; // r12
        unsigned int v7; // r7
        int v8; // r6
        bool v9; // cc
        char v10; // r4
        unsigned int v11; // r5
        std::vector<int> buffer;
        if (a3)
        {
            LOBYTE(v4) = 0;
            v5 = 0;
            v6 = 0;
            int i = 0;
            do
            {
                v7 = EncodeBitMasks[result[i]] ^ 9;
                v8 = v5 + 2;
                v9 = v5 + 2 < 6;
                auto code = (((v7 >> (v5 + 2)) | v4) & 0x3F) + 0x3C;
                buffer.push_back(code);
                v10 = 6 - v5;
                v11 = v6 + 1;
                v4 = (unsigned __int8)(v7 << v10) >> 2;
                if (v9)
                {
                    ++v6;
                    v5 = v8;
                }
                else
                {
                    v6 += 2;
                    auto code2 = v4 + 0x3C;
                    buffer.push_back(code2);
                    v5 = 0;
                    v4 = 0;
                }
                --a3;
                ++i;
            } while (a3);
            if (v5 > 0)
            {
                auto code3 = v4 + 0x3C;
                buffer.push_back(code3);
    
            }
        }
        else
        {
            v6 = 0;
        }
        *a4 = v6;
        return buffer;
    }

std::vector<int> __fastcall Decode6BitBuf(std::vector<int> result, unsigned int a3, unsigned int* a4)
    {
        int v4; // r12
        int v5; // r4
        int v6; // r10
        unsigned int v7; // lr
        int v8; // r6
        unsigned int v9; // r5
        unsigned __int8 v10; // r5
        std::vector<int> buffer;
        if (a3)
        {
            v4 = 0;
            v5 = 2;
            LOBYTE(v6) = 0;
            v7 = 0;
            v8 = 0;
            while (1)
            {
                v9 = result[v4];
                if (v9 < 0x3C)
                    goto LABEL_12;
                v10 = v9 - 0x3C;
                if (v8 >= 2)
                {
                    unsigned char code = DecodeBitMasks[(((unsigned __int8)(v10 & 0x3F) >> (6 - v5)) | (unsigned __int8)v6) ^ 0x9E] ^ 0x34;
                    buffer.push_back(code);
                    if (v5 > 5)
                    {
                        v5 = 2;
                        v8 = 0;
                        goto LABEL_9;
                    }
                    v5 += 2;
                    v8 = 0;
                }
                v6 = Decode6BitMask[v5 - 2] & (v10 << v5);
                v8 = v8 + 8 - v5;
            LABEL_9:
                if (++v4 >= a3)
                    goto LABEL_12;
            }
        }
        v7 = 0;
    LABEL_12:
        *a4 = v7;
        return buffer;
    }
```
 ![](upload/attach/202204/878559_9PGNU43WMMPWTYX.png)
分析发现任务封包头部加密!其余封包全段加密!
通过对封包头部截取发现
列1.列3 可能为Type
列2.游戏重新打开时发生变化.那么我们是不是可以猜测是每次打开游戏与服务器做一些效验的字节.经过仔细分析打开登陆游戏时服务器向客户端发送的数据包认证了这一点
 ![](upload/attach/202204/878559_GZH3EEA7GJETKGS.png)
列4.每次点击发生变化.通过反复观察分析.确定列4为发包次数.最大为0xFF
 ![](upload/attach/202204/878559_3ZRQ365BFZ332G3.png)
 ![](upload/attach/202204/878559_WRDUQZJ5MN5HHPS.png)
 ![](upload/attach/202204/878559_43ERFSXGQK7URZM.png)
# 六、总结
总体来说这一次的逆向没什么挑战.完全就是CV大法.游戏代码也应该是很久以前的老代码并没有做太多的修改以及防护.列如最近分析的一个PC游戏封包让我认识到了什么才叫兜圈子.也可能是本人封包经验欠缺.

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2023-10-24 17:16 被thisif编辑，原因：工具

#调试逆向

上传的附件：

DecCode.rar （133.47kb，375次下载）

最新回复 (44) 1 2 ▶
木志本柯雪币： 6571 活跃值： (8624) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 446 粉丝 9 关注私信	木志本柯 2 楼 6这种f5出来的伪代码直接就能拿来用了吗会不会出现计算结果不对的情况 2022-4-10 10:59 0
thisif 雪币： 1785 活跃值： (1605) 能力值： ( LV4，RANK：50 ) 在线值：发帖 5 回帖 13 粉丝 87 关注私信	thisif 3 楼木志本柯 6这种f5出来的伪代码直接就能拿来用了吗会不会出现计算结果不对的情况有些时候F5出来的伪代码会有一点不一样. 2022-4-10 15:51 0
一瞬间的错觉雪币： 0 活跃值： (218) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 24 粉丝 0 关注私信	一瞬间的错觉 4 楼不明觉厉，Cocos引擎吗？ 2022-4-10 18:39 0
PlaneJun 雪币： 38 活跃值： (8625) 能力值： ( LV9，RANK：335 ) 在线值：发帖 23 回帖 122 粉丝 229 关注私信	PlaneJun 6 5 楼牛蛙！ 2022-4-10 22:41 0
mb_mfcruacn 雪币： 987 活跃值： (357) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 14 粉丝 0 关注私信	mb_mfcruacn 6 楼为啥你这么有趣? 2022-4-11 10:15 0
suuuuu 雪币： 879 活跃值： (5144) 能力值： ( LV2，RANK：10 ) 在线值：发帖 22 回帖 298 粉丝 8 关注私信	suuuuu 7 楼 mark 最后于 2022-4-11 10:53 被suuuuu编辑，原因： 2022-4-11 10:53 0
白菜大哥雪币： 12503 活跃值： (3177) 能力值： ( LV3，RANK：20 ) 在线值：发帖 66 回帖 617 粉丝 15 关注私信	白菜大哥 8 楼我就觉得这个头像蛮可爱。。 2022-4-11 15:07 0
北极l 雪币： 220 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	北极l 9 楼 666 2022-4-21 10:39 0
剁辣椒炒肉雪币： 573 活跃值： (626) 能力值： ( LV3，RANK：20 ) 在线值：发帖 7 回帖 41 粉丝 1 关注私信	剁辣椒炒肉 10 楼这个抓包软件叫啥，格式看着还行 2022-4-21 11:49 0
意难平雪币： 0 活跃值： (29) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	意难平 11 楼没毛病 2022-4-29 18:23 0
上海滩赌肾雪币： 0 活跃值： (100) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	上海滩赌肾 14 楼好一个导管选手！ 2022-7-15 23:07 0
Lunction 雪币： 9380 活跃值： (2020) 能力值： ( LV2，RANK：10 ) 在线值：发帖 14 回帖 133 粉丝 5 关注私信	Lunction 15 楼 996传奇 2022-7-16 12:31 0
逆了天雪币： 10 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	逆了天 16 楼 2022-7-31 19:57 0
逆了天雪币： 10 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	逆了天 17 楼大佬伪代码出来了后面怎么搞了，怎么直接就写出了软件？ 2022-7-31 19:58 0
Eagle 雪币： 211 活跃值： (271) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 15 粉丝 0 关注私信	Eagle 18 楼呃，这就是一个变异的BASE64啊。 2022-8-1 09:17 0
dx苹果的心愿雪币： 1893 活跃值： (6447) 能力值： ( LV5，RANK：70 ) 在线值：发帖 3 回帖 110 粉丝 7 关注私信	dx苹果的心愿 1 19 楼你的图真多，收藏了 2022-8-1 09:35 0
网络枭红雪币： 1597 活跃值： (1331) 能力值： ( LV3，RANK：20 ) 在线值：发帖 9 回帖 67 粉丝 6 关注私信	网络枭红 20 楼果断关注大哥，请问文中提到的 45dK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4S2^5P5q4)9J5k6h3y4G2L8g2)9J5y4X3&6T1M7%4m8Q4x3@1u0Q4c8e0g2Q4z5o6S2Q4b7U0m8Q4c8e0g2Q4b7V1q4Q4z5e0g2Q4c8e0k6Q4z5e0S2Q4b7f1k6Q4c8e0c8Q4b7V1u0Q4z5o6m8Q4c8e0c8Q4b7U0W2Q4z5o6S2Q4c8e0y4Q4z5o6m8Q4z5o6t1`. 2022-8-1 11:52 0
悠然39 雪币： 103 活跃值： (77) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 4 粉丝 1 关注私信	悠然39 22 楼 CV大法牛逼啊 2022-8-9 09:04 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复