《英雄无敌》每代都有回城术，而第一代的回城术则是所谓的“小回城术”，就是到达的城堡不能选择。到了《英雄无敌》2代和3代，都有大小回城术了，而大回城术可以使英雄回到己方的任意一座没有自己的英雄所在的城堡，有了这样的魔法，使得英雄能兼顾整个地图，是每个玩家都是首要得到的！可惜的是，到了《英雄无敌》四代，回城术又回到了小回城术并且限定只有会秩序类魔法的英雄才能拥有，极大地增加了完成地图的难度和时间！以前我有发过把二代里的小回城术修改成大回城术的博文：
https://www.cnblogs.com/dark-f/p/18432634
这次我将要把《英雄无敌》一代的小回城术，改成大回城术。具体方法包括：
1）设计一个DLL，就是一个由一个下拉框组成的对话框
2）把这个DLL注入到《英雄无敌》一代里
本次修改是在这2个文章基础上进行的：
https://www.cnblogs.com/dark-f/p/18316105
https://www.cnblogs.com/dark-f/p/18299637

这个设计很简单，语言选择的是masm32。

给DLL取名Towngate，下面直接上代码。
Towngate.asm:

Towngate.def:

Towngate.rc:

Makefile文件：

然后就可以编译链接成dll了(为了确保dll有效，已经用应用程序测试可以加载调用)。

这种注入方式的优点非常明显：
1）这种注入方式，不怕dll升级与修改，即修改dll无需再去修改PE
2）无需繁琐的导入表重定位操作与计算
注入方法只是很简单的三步：
第一步：在pe文件的空白处输入dll文件名称字符串，并push 地址
第二步：call LoadLibraryA
第三步：跳回原pe入口点
最后修改PE的入口点为上面第一步push所在命令行地址即可。下面以《英雄无敌》1代注入Towngate.dll看具体操作：
用OD打开程序就会停在程序入口点，这个点也可以使用PE类程序查看的，本贴使用的是Explorer Suite（也就是CFF Explorer）

在程序的尾部有很多空白，选定0048B0C0处作为新的入口点

先在0047B0A4的地方输入字符串Towngate.dll，这是dll的文件名

再在0047B0B1的地方输入GetTown，这是dll中的输出函数名

好，下面就可以按照上面的三步注入dll。在0048B0C0处，依次输入上面三步，结果如下图

保存修改

用CFF Explorer打开刚修改后的程序，可以看到此时程序的入口点是在826C0处（即4826C0）

将其修改为8B0C0，并保存

运行一下游戏，看看是否可以正常运行。可以正常运行，说明入口点的修改没有问题，下面就是修改程序代码的过程了。

下面是关键部分，也就是回城术是怎么选择城堡的

可以看出，上面的小回城术是根据英雄所在位置坐标，和己方所有城堡坐标作距离计算，得到最小的那个距离，就是英雄要回到的城堡。其中关键的数据有3个：player1的首地址，是存在[4C24B0]，而己方城堡数量，是存在上面那个地址偏移56的地方[eax+56]，再就是选中的城堡是存在[local.3]（即[ebp-C])里的。
搞清楚了回城术的应用流程，修改就简单了，只要在跳入对每个城堡循环前，就将程序跳转到自己的代码那里，然后把所要去的城堡付给[local.3]即可。
因此，将程序中的这个跳转，改到跳到修改代码所在地址即可

再看看修改的代码怎么写（下图红框的就是）？

由于玩家与电脑是使用同样的魔法代码的，因此，这样修改后要防止电脑不会使用而无法游戏，所以必须把电脑的排除出去，动态调试可知，玩家首地址的低16位为254，因此，可以用这判断将电脑仍回到小回城术上去。
大意就是：根据玩家首地址的低16位是否为254，将电脑排除掉，不等于254就返回小回城术流程-->得到dll的句柄-->检查句柄是否为NULL，如果是NULL，让程序回到原有的小回城术流程上去-->得到导出函数入口地址-->检查入口地址是否为NULL，若是同样返回原有程序的小回城术流程-->得到己方城堡数量，作为调用导出函数的参数，调用导出函数-->将导出函数的返回值传递给[local.3]-->最后跳转到原路径的00435289处。
修改后的程序代码在X32dbg中的样子（红框中三行是改变入口点的）：

游戏中，回城术的使用方法是：
1 己方城堡从第一个开始，依次1、2、3、4下去，记住英雄要去的城堡是第几个？

2 在下拉框中就选中第几个（注意：即使是列表中的第一个，也要用鼠标选中一次）

3 点击OK就行了，下面看看实测结果

https://wwzd.lanzoup.com/inEvw2bxohoh

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)