-
-
在线游戏刀剑代码分析0.9567版（意在提醒搜狐加强国产游戏的保护机制）[原创]
-
发表于: 2006-7-9 23:38
-
1.数据包的截获：
1)数据包中发送人物动作的描述是关键的14（BYTE），其中后6个和前8个进行不同的加密运算（好象是2个CALL，不记得了，半年前的事了），后6个字节有经过3次加密运算，具体等下讲。
2)截获和分析数据包很简单，游戏没加壳，至少这个版本是这样，用wpe收集些封包发现人物移动的封包后，自己做了一个hook类型的程序封包监视器，代码很简单，主要过滤掉不必要的封包留下正确的封包，然后bpx sendto(用的是这个协议拉)，得到sendto的buffer,这里调试器会跳出来很多次，下个条件if（ecx==正确的封包的buffer）就可以了，然后在游戏中下断:bpmb xxxxxxx(buffer的地址 R)就可以来到一个CALL中具体没记住，按F12 出来CALL的后面，在这个CALL上下断，按F5，晕，狂跳，好在我自己想了个技巧，虽然是苯方法，当时有时很管用：就是在重新刚才的步骤，来到这个CALL，在运行（或按F12）到RET，在下断，还是老跳，怎么办？多试几次.......
呵呵成功了，现在只有在人物跑动的时候才跳了，那说明什么？呵呵....
我们离目标近了。
继续跟，发现是在另一个CALL中改的（填入）发送数据buffer内容，来到这个CALL中，RET，记下地址（ 备不时之需（跟丢时） ），看看数据来源的buffer，晕，传说中的天书，没什么头绪（加了密了嘛，呵呵...）
用刚才的方法跟这个buffer，跟不下去了，很多的岔路。另开明路吧，用FPE查到任务的坐标值，bpmb xxxxxx(坐标地址)，调试器跳出来，按‘F10’跟.......咦？好熟悉的代码，刚才来过，记一下先：538dc8（这里我本子里记有呵呵。。。），回到程序，点下鼠标，让人物走两步，一点调试器跳出，马上下bpx sendto（目的看坐标改变后什么时候sendto以找到关键的CALL），走了很长一段，一直在一个大的循环里，循环了2次后，第3次，来到5289D7后sendto断点立即跳出，表明就是这个CALL了，记下8个寄存器的值，和地址，回游戏后在同样的来到这里，发现push ecx的值可疑，d ecx，呵呵不就是sendto的buffer了吗？一看记下数据，回到游戏（此时我的封包监视器开着）看下封包，和刚才的buffer一样，恩，加密在走过来的这中间完成了，找到希望了
困了，下次在讲，讲得比较乱，毕竟是全凭记忆的
1)数据包中发送人物动作的描述是关键的14（BYTE），其中后6个和前8个进行不同的加密运算（好象是2个CALL，不记得了，半年前的事了），后6个字节有经过3次加密运算，具体等下讲。
2)截获和分析数据包很简单，游戏没加壳，至少这个版本是这样，用wpe收集些封包发现人物移动的封包后，自己做了一个hook类型的程序封包监视器，代码很简单，主要过滤掉不必要的封包留下正确的封包，然后bpx sendto(用的是这个协议拉)，得到sendto的buffer,这里调试器会跳出来很多次，下个条件if（ecx==正确的封包的buffer）就可以了，然后在游戏中下断:bpmb xxxxxxx(buffer的地址 R)就可以来到一个CALL中具体没记住，按F12 出来CALL的后面，在这个CALL上下断，按F5，晕，狂跳，好在我自己想了个技巧，虽然是苯方法，当时有时很管用：就是在重新刚才的步骤，来到这个CALL，在运行（或按F12）到RET，在下断，还是老跳，怎么办？多试几次.......
呵呵成功了，现在只有在人物跑动的时候才跳了，那说明什么？呵呵....
我们离目标近了。
继续跟，发现是在另一个CALL中改的（填入）发送数据buffer内容，来到这个CALL中，RET，记下地址（ 备不时之需（跟丢时） ），看看数据来源的buffer，晕，传说中的天书，没什么头绪（加了密了嘛，呵呵...）
用刚才的方法跟这个buffer，跟不下去了，很多的岔路。另开明路吧，用FPE查到任务的坐标值，bpmb xxxxxx(坐标地址)，调试器跳出来，按‘F10’跟.......咦？好熟悉的代码，刚才来过，记一下先：538dc8（这里我本子里记有呵呵。。。），回到程序，点下鼠标，让人物走两步，一点调试器跳出，马上下bpx sendto（目的看坐标改变后什么时候sendto以找到关键的CALL），走了很长一段，一直在一个大的循环里，循环了2次后，第3次，来到5289D7后sendto断点立即跳出，表明就是这个CALL了，记下8个寄存器的值，和地址，回游戏后在同样的来到这里，发现push ecx的值可疑，d ecx，呵呵不就是sendto的buffer了吗？一看记下数据，回到游戏（此时我的封包监视器开着）看下封包，和刚才的buffer一样，恩，加密在走过来的这中间完成了，找到希望了
困了，下次在讲，讲得比较乱，毕竟是全凭记忆的
[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
好下次改正,谢谢你的支持
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
很少能见到CrackGirl的，支持一下～～～
 我也发现一个“潜力点”： 下班了,我用PDA写的这篇,累... 用PDA写文章那是在哪调试的啊？不会全部都是凭记忆力写的吧？偶对楼主的记忆力有如涛涛江水延绵不绝…… |
|
|
全凭记忆和2张笔记纸，我是从壳和调试程序中判断的，魔兽没调过，至于UPX拉不垃圾，是个人的观点啦
|
|
|
最初由 一民 发布 一个能存活10年的壳怎么可能垃圾...
|
|
|
|
|
|
|
|
|
恩，我知道，但是我是从cracker的角度思考的结论
|
|
|
|
|
|
|
|
|
小女子眼力不好最恨别人用多嵌套循环来防cracker了 :)
呃句我最喜?了，其他的就 
|
|
|
|
|
|
|
|
|
|
