[原创]一款单机斗地主手机游戏的分析-Android安全-看雪安全社区

[原创]一款单机斗地主手机游戏的分析

发表于: 2025-11-17 01:35 19409

[原创]一款单机斗地主手机游戏的分析

taeyeon_ss 活跃值

2025-11-17 01:35

19409

# 一款单机斗地主手机游戏的分析
# 1 引言
一款我很久之前玩过的单机斗地主游戏，但是玩的时间一久，系统发的牌就变得特别差，所以我就想分析分析一下这个App.
**注意：这是一个32位的安装包，需要把IDA的32位调试服务器adb push到/data/local/tmp** 中。

# 2 开始分析
把apk放到GDA4.11中分析，如下图所示。

![图片描述](upload/attach/202511/996488_TT2JGT69FVBH9C5.webp)

![图片描述](upload/attach/202511/996488_2QAADGCVRCKGK53.webp)

虽然它有显示疑似有腾讯的什么bugly打包服务，但它Java层代码是可以正常阅读的。

以及使用Android killer调用apktool给apk重新打包签名，也没有提示用户安装盗版应用的对话框。

大致看了下，有关发牌、金币结算的逻辑并不在Java层里，因此我考虑到它应该是用了一些游戏引擎的，关键的逻辑应该在so层中。

## 2.1 分析游戏逻辑
使用frida脚本来监视App加载了哪些文件，如下图所示。
![图片描述](upload/attach/202511/996488_9UX37PMYTEJENY2.webp)

frida的JS脚本如下：

```javascript
function my_hook_open() {
    Interceptor.attach(Process.getModuleByName('libc.so').getExportByName('open'),
        {
            onEnter: function (args) {
                var pathptr = args[0];
                if (pathptr !== undefined && pathptr != null) {
                    var path = ptr(pathptr).readCString();
		     console.log("Load: " + path);		
                }
            },
            onLeave: function (retval) {
               
            }
        }
    );
}
setImmediate(my_hook_open);
// 简化打印的方法名，下同
function LOG(sth){
    console.log(sth);
}
```
执行的命令行为：`frida -U -f com.june.game.doudizhu.g.baidu -l file.js`

可以看到有许许多多的luac文件，特别是在进入房间的时候有一些疑似关键的luac被加载起来了。

比如，`libsendCard2_2.lua` 或者`libsendcard2_2.luac` ，猜想它是负责发牌的一段脚本。再看看apk中包含的文件，so文件又包含`libcocos2dcpp.so` 文件，`assets` 下也有许多luac文件。如下图所示。
 ![图片描述](upload/attach/202511/996488_UYRWTCW3GKT6WE4.webp)
 ![图片描述](upload/attach/202511/996488_DWCKXE3T7Z33F7U.webp)
那么根据网上的资料来看，这个游戏极可能是基于cocos2dx来开发的。
在使用frida hook `open`函数的时候，虽然它有感知到有lua文件的打开，但在目标目录下并没有找到解密的`lua`文件。
### 2.1.1 解密luac文件
所以此时的逻辑就是应当解密关键的`luac` 文件了，`luac` 的形式如下图所示。
 ![图片描述](upload/attach/202511/996488_VA64978HEF26Q3M.webp)
除了最开始的`bianfengqipai` （边锋棋牌，和游戏的产商名是对的上的），剩余的内容都是加密的。一般来讲，程序是先检查头部的数据再去解密的。不过为了防止开发者做字符串加密，还是hook系统的open函数、过滤参数并跟踪它的调用堆栈就能找它解密的地方了。

此时的hook脚本如下：

```javascript
function my_hook_open() {
    Interceptor.attach(Process.getModuleByName('libc.so').getExportByName('open'),
        {
            onEnter: function (args) {
				var pathptr = args[0];
				if (pathptr !== undefined && pathptr != null) {
				var path = ptr(pathptr).readCString();
					if(path.indexOf("libsendcard") >= 0)
					{
						// 此处添加自定义操作
						 console.log("Load: " + path);
						 // 打印调用堆栈
						 console.log('Call stack:\n' + Thread.backtrace(this.context, Backtracer.ACCURATE).map(DebugSymbol.fromAddress).join('\n'));
						 console.log('\n');
					}					
                }
            },
            onLeave: function (retval) {
               
            }
        }
    );
}
setImmediate(my_hook_open);
```
输出如下图所示。

![图片描述](upload/attach/202511/996488_AXK3F3HC64HR4ZS.webp)

都是一样的，以及大致看了一下这些调用堆栈，并没有发现特殊的，负责解密的代码段。于是修改脚本hook`lua_pcall` ，脚本如下。

```javascript

![图片描述](upload/attach/202511/996488_3EZENZ6PVUP9DM5.webp)

但是仍没有看出调用堆栈能解密的代码。这时我选择了直接hook `fread`函数，并对比头部的字节，如果是`bianfengqipai` 则打印出调用堆栈。但在实际操作过程中，它只打印了一行`fread` 没有打印出更上一级的调用堆栈了，所以我修改了一下frida的脚本，如下。（另外写的一个脚本）

```javascript
// hook_fread.js

// 要检测的目标字节序列

const targetBytes = [
    0x62, 0x69, 0x61, 0x6E, 0x66, 0x65, 0x6E, 0x67, 0x71, 0x69, 0x70, 0x61, 0x69 
];

const freadPtr = Module.findExportByName(null, "fread");
if (!freadPtr) {
    console.error("未找到 fread 符号");
} else {
    console.log("✅ Hook fread @ " + freadPtr);

Interceptor.attach(freadPtr, {
        onEnter(args) {
            this.ptr = args[0];
            this.size = args[1].toInt32();
            this.nmemb = args[2].toInt32();
            this.totalSize = this.size * this.nmemb;
        },
        onLeave(retval) {
            const len = retval.toInt32();
            if (len > 0 && this.ptr && this.totalSize > 0) {
                try {
                    const buf = Memory.readByteArray(this.ptr, Math.min(this.totalSize, len * this.size));
                    const data = new Uint8Array(buf);

if (bytesMatch(data, targetBytes)) {
                        console.log("⚠️ 检测到目标字节序列！");
                        console.log("读取长度:", len, "字节");

// 打印十六进制数据
                       /* console.log(hexdump(this.ptr, {
                            offset: 0,
                            length: Math.min(64, len), // 打印前64字节
                            header: true,
                            ansi: true
                        }));*/

// 打印堆栈
                        console.log("堆栈回溯:\n" + Thread.backtrace(this.context, Backtracer.FUZZY)
                        .map(DebugSymbol.fromAddress).join("\n"));
                    }
                } catch (e) {
                    console.error("读取内存失败:", e);
                }
            }
        }
    });
}

// frida -U -f com.june.game.doudizhu.g.baidu -l fread.js
// frida -U 单机斗地主 -l fread.js
```
打印的调用堆栈如下所示：

```text
⚠️ 检测到目标字节序列！
读取长度: 44121 字节
堆栈回溯:
0xf1f7d51d libc.so!fread+0x38
0xbea767ae libcocos2dcpp.so!_ZN7cocos2d16FileUtilsAndroid11getContentsERKSsPNS_15ResizableBufferE+0x81
0xbf0b1790 libcocos2dcpp.so!_ZN7cocos2d9FileUtils15getDataFromFileERKSs+0x44
0xbeb68d74 libcocos2dcpp.so!cocos2dx_lua_loader+0x6e0
0xbef30728 libcocos2dcpp.so!0xa2d728
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
0xbef2fcec libcocos2dcpp.so!0xa2ccec
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
0xbef2fd84 libcocos2dcpp.so!0xa2cd84
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
0xbef2fd84 libcocos2dcpp.so!0xa2cd84
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
0xbef2fd84 libcocos2dcpp.so!0xa2cd84
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
0xbef2fd84 libcocos2dcpp.so!0xa2cd84
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
⚠️ 检测到目标字节序列！
读取长度: 25921 字节
堆栈回溯:
0xf1f7d51d libc.so!fread+0x38
0xbea767ae libcocos2dcpp.so!_ZN7cocos2d16FileUtilsAndroid11getContentsERKSsPNS_15ResizableBufferE+0x81
0xbf0b1790 libcocos2dcpp.so!_ZN7cocos2d9FileUtils15getDataFromFileERKSs+0x44
0xbeb68d74 libcocos2dcpp.so!cocos2dx_lua_loader+0x6e0
0xbef30728 libcocos2dcpp.so!0xa2d728
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
0xbef2fcec libcocos2dcpp.so!0xa2ccec
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
0xbef2fd84 libcocos2dcpp.so!0xa2cd84
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
0xbef2fd84 libcocos2dcpp.so!0xa2cd84
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
0xbef2fd84 libcocos2dcpp.so!0xa2cd84
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
0xbef2fd84 libcocos2dcpp.so!0xa2cd84
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
⚠️ 检测到目标字节序列！
读取长度: 1901 字节
堆栈回溯:
0xf1f7d51d libc.so!fread+0x38
0xbea767ae libcocos2dcpp.so!_ZN7cocos2d16FileUtilsAndroid11getContentsERKSsPNS_15ResizableBufferE+0x81
0xbf0b1790 libcocos2dcpp.so!_ZN7cocos2d9FileUtils15getDataFromFileERKSs+0x44
0xbeb68d74 libcocos2dcpp.so!cocos2dx_lua_loader+0x6e0
0xbef30728 libcocos2dcpp.so!0xa2d728
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
0xbef2fcec libcocos2dcpp.so!0xa2ccec
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
0xbef2fd84 libcocos2dcpp.so!0xa2cd84
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
0xbef2fd84 libcocos2dcpp.so!0xa2cd84
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
0xbef2fd84 libcocos2dcpp.so!0xa2cd84
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
0xbef2fd84 libcocos2dcpp.so!0xa2cd84
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
⚠️ 检测到目标字节序列！
读取长度: 21101 字节
堆栈回溯:
0xf1f7d51d libc.so!fread+0x38
0xbea767ae libcocos2dcpp.so!_ZN7cocos2d16FileUtilsAndroid11getContentsERKSsPNS_15ResizableBufferE+0x81
0xbf0b1790 libcocos2dcpp.so!_ZN7cocos2d9FileUtils15getDataFromFileERKSs+0x44
0xbeb68d74 libcocos2dcpp.so!cocos2dx_lua_loader+0x6e0
0xbef30728 libcocos2dcpp.so!0xa2d728
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
0xbef2fcec libcocos2dcpp.so!0xa2ccec
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
0xbef2fd84 libcocos2dcpp.so!0xa2cd84
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
0xbef2fd84 libcocos2dcpp.so!0xa2cd84
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
0xbef2fd84 libcocos2dcpp.so!0xa2cd84
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
0xbef2fd84 libcocos2dcpp.so!0xa2cd84
0xbef008a4 libcocos2dcpp.so!0x9fd8a4
```
当然了，这里最好搜搜网上资料了，下图是`cocos2dx_lua_loader` 的伪代码。

![图片描述](upload/attach/202511/996488_FSP32DRBHFCEXUS.webp)

函数`cocos2d::LuaStack::luaLoadBuffer` 就包含了真正解密的函数，如下图所示。
![图片描述](upload/attach/202511/996488_K36P3ASH9H9WPAG.webp)

其源码所在的链接为：<a href="elink@b95K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6U0L8$3y4G2M7K6u0V1i4K6u0r3j5$3!0U0L8%4x3J5k6q4)9J5k6s2S2Q4x3V1k6T1L8r3!0T1i4K6u0r3N6U0c8Q4x3V1k6U0L8$3y4G2M7#2)9J5c8Y4y4U0M7X3W2H3N6r3W2F1k6#2)9J5c8X3I4#2j5g2)9J5k6r3u0A6L8X3c8A6L8X3N6K6i4K6u0r3L8h3q4F1N6h3q4D9i4K6u0r3b7@1y4x3N6h3q4e0N6r3q4U0K9#2)9J5k6h3y4H3M7l9`.`."><mark class="encrypted">6b2K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6U0L8$3y4G2M7K6u0V1i4K6u0r3j5$3!0U0L8%4x3J5k6q4)9J5k6s2S2Q4x3V1k6T1L8r3!0T1i4K6u0r3N6U0c8Q4x3V1k6U0L8$3y4G2M7#2)9J5c8Y4y4U0M7X3W2H3N6r3W2F1k6#2)9J5c8X3I4#2j5g2)9J5k6r3u0A6L8X3c8A6L8X3N6K6i4K6u0r3L8h3q4F1N6h3q4D9i4K6u0r3b7@1y4x3N6h3q4e0N6r3q4U0K9#2)9J5k6h3y4H3M7l9`.`.</mark></a>

如下图所示。好在这个so没有去掉符号。
![图片描述](upload/attach/202511/996488_QP7GA5JMKXGF743.webp)

这里再给两个参考链接：

[https://bbs.kanxue.com/thread-268574-1.htm](https://bbs.kanxue.com/thread-268574-1.htm)

那么现在我们就搜索字符串`bianfengqipai` ，有且仅有一个结果。找到它的交叉引用，找到`int __fastcall AppDelegate::applicationDidFinishLaunching(AppDelegate *this)`

![图片描述](upload/attach/202511/996488_SWAAAMN88QDVG9A.webp)

再看到伪码。
 ![图片描述](upload/attach/202511/996488_57KPZ6MPFWKACK3.webp)

我们寻找这个函数，显然它是一个虚函数，间接调用的形式。所以要找this指针`v34` .

![图片描述](upload/attach/202511/996488_UFG3HQ3JPEFM9B8.webp)

![图片描述](upload/attach/202511/996488_YD4QPEHXWTGTAJS.webp)

![图片描述](upload/attach/202511/996488_4D7FV2659J9PFAS.webp)

以下就是`v34+84h` 偏移所包含的函数了。

![图片描述](upload/attach/202511/996488_A9YETY787U2HETZ.webp)

再来看看`LuaStack` 的源码。是密钥在前，签名在后。

![图片描述](upload/attach/202511/996488_6MQHKCHKH9X87RA.webp)

![图片描述](upload/attach/202511/996488_P7YBD5E5MT4SQP3.webp)

那么我们就能解密luac文件了，密钥是`03f0fdcbf5215b45fc790aaf2b965237` ，签名是`bianfengqipai` 。算法是`XXTEA` ，我们找到apk解压路径`\assets\src\game\libcard` ，这个目录下足足有100多个luac文件，而且命名都是差不多的。如下图所示。

![图片描述](upload/attach/202511/996488_24FEHV637W2TEP2.webp)

随便拿出一个用吾爱破解论坛上的逆向密码学工具来解密即可。一定要先去掉头部的签名，否则会解不出来。

![图片描述](upload/attach/202511/996488_R8NN6GW5SEEEBBW.webp)

为了不影响原有的文件，我特地将原文件备份了一份，去掉了头部字节。放入解密工具，参数设置如下图所示。
 ![图片描述](upload/attach/202511/996488_CQ83MA9R3VBBAR7.webp)

解出来发现是一个超大的数组，如下图所示。

![图片描述](upload/attach/202511/996488_KX7DR9FWBZYPB47.webp)

最后返回

![图片描述](upload/attach/202511/996488_FGWG7W8EKPMA47E.webp)

例如我拿出最后一个数组。

```lua
[2000]={handCards={[0]={53,41,28,15,2,42,29,16,48,47,46,45,31,43,37,9,7},[1]={4,17,8,6,13,5,21,35,32,22,54,36,10,27,49,50,44},[2]={18,26,23,19,3,40,33,14,38,34,24,1,12,11,51,52,30}},baseCards={25,39,20}}
```
想必应该能猜出来，这是斗地主三个玩家的牌，`baseCards` 变量应该指的就是底牌了。如此说来，牌型的组合是相对固定的，只是App随机给你分配一个了。

### 2.1.2 牌的点数和数值的关系
我们已经知道`\assets\src\game\libcard` 中的文件都是定义牌型组合的脚本。那么它的数值是怎么和牌的点数对应上的呢？

一副扑克牌有大王、小王，剩下的就是4种花色的A\~K了，等于13 \* 4 + 2 = 54张牌。

游戏的逻辑很显然在`libcocos2dcpp.so` 里了，那么有很大概率lua会申请一段内存，存放每个玩家的牌，数值就像上文中提到的`{53,41,28,15,2,42,29,16,48,47,46,45,31,43,37,9,7}` 。

由于`malloc` 的调用次数会非常多，所以建议在开始游戏之前附加frida脚本，点击之后再看输出。脚本如下。当参数等于17时打印调用堆栈，因为在叫地主之前，大家都只有17张牌。

```javascript
// hook malloc，当 size == 0x11 时打印调用堆栈
Interceptor.attach(Module.findExportByName(null, "malloc"), {
    onEnter: function (args) {
        var size = args[0].toInt32();
        if (size === 0x11) {
            console.log("[*] malloc called with size = 0x11");
            console.log(Thread.backtrace(this.context, Backtracer.ACCURATE)
                .map(DebugSymbol.fromAddress)
                .join("\n"));
            console.log("--------------------------------------");
        }
    },
    onLeave: function (retval) {
        // 可选：你也可以打印返回的指针地址
        // console.log("malloc returned:", retval);
    }
});

// frida -U -f com.june.game.doudizhu.g.baidu -l malloc.js
// frida -U 单机斗地主 -l malloc.js
```
先执行命令行`frida -U 单机斗地主 -l malloc.js` 再开始游戏，如下图所示。

![图片描述](upload/attach/202511/996488_XRY73GTFUP5ZT6M.webp)

屏幕有一大堆输出，找到有用的调用堆栈如下。

```text
--------------------------------------
0xc0c312a7 libcocos2dcpp.so!_Znwj+0x1a
0xc0322e39 libcocos2dcpp.so!0x561e39
0xc0323b2d libcocos2dcpp.so!_ZNSt6vectorIhSaIhEEC2ERKS1_+0x1a
0xc03947a7 libcocos2dcpp.so!_ZN8bianfeng8CardFunc8delCardsERSt6vectorIhSaIhEERKS3_+0x12
0xc0397c5b libcocos2dcpp.so!_ZN8bianfeng7RunRule15findCardsByNumsERKSt6vectorIhSaIhEES5_S5_RS3_+0x50
0xc039a7ad libcocos2dcpp.so!_ZN8bianfeng7RunRule9findCardsERKSt6vectorIhSaIhEEiS5_RS1_IS3_SaIS3_EEb+0xac
0xc0364f09 libcocos2dcpp.so!_Z29lua_RunRule_RunRule_findCardsP9lua_State+0x1dc
0xc07be8a4 libcocos2dcpp.so!0x9fd8a4
0xc07ae0bc libcocos2dcpp.so!lua_pcall+0x24
--------------------------------------
```
在IDA中跳转至`lua_RunRule_RunRule_findCards` ，这个函数能一下子看见许多疑似的牌点、数值互转的代码段。如下图所示。

![图片描述](upload/attach/202511/996488_CKEPSK2J79AVEBU.webp)

我们再看到堆栈中的`_ZN8bianfeng7RunRule15findCardsByNumsERKSt6vectorIhSaIhEES5_S5_RS3_` ，其实是函数名`int __fastcall bianfeng::RunRule::findCardsByNums(int, _DWORD *, _DWORD *, _DWORD *, _DWORD *);` 如下图所示

![图片描述](upload/attach/202511/996488_H5VF2R22BN5YN7N.webp)

`CardNum = bianfeng::CardFunc::getCardNum((bianfeng::CardFunc *)*v11++, v9);` 就很像牌点和数值之间的转换了。

![图片描述](upload/attach/202511/996488_64SSYH2FBE8ES2Y.webp)

在这个函数下断，最好是某一局有炸弹的，即存在不同花色的同一点数的牌。我这里选中了方片9，数值是9.函数也断下了。
 ![图片描述](upload/attach/202511/996488_XQZRZYV5WCS4GHJ.webp)

再选中梅花9，如下图所示。数值是22

![图片描述](upload/attach/202511/996488_UJ55RX2S5VD2W3T.webp)

选中红心9，如下图所示。数值是35.

![图片描述](upload/attach/202511/996488_8DRHY6H7XNMUFD5.webp)

最后选中黑桃9，如下图所示。数值是48。
 ![图片描述](upload/attach/202511/996488_H2S6MSXQA6R4M9J.webp)

其它牌的点数就能一步一步调出来了。方块花色的数值是最小的，黑桃是最大的。以及A代表1，J、Q、K分别是11,12,13。小王是53，大王是54.所以就有以下牌点和数值的对应关系了。

**十进制**

|扑克牌点数|方块♦️|梅花♣️|红心♥️|黑桃♠️|
| :-----: | :-----: | :-----: | :-----: | :-----: |
|A|1|14|27|40|
|2|2|15|28|41|
|3|3|16|29|42|
|4|4|17|30|43|
|5|5|18|31|44|
|6|6|19|32|45|
|7|7|20|33|46|
|8|8|21|34|47|
|9|9|22|35|48|
|10|10|23|36|49|
|J|11|24|37|50|
|Q|12|25|38|51|
|K|13|26|39|52|
|小王(53)|\-|\-|\-|\-|
|大王(54)|\-|\-|\-|\-|

纵向：同一花色，相邻点数牌相差1。

横向：同一点数，相邻花色牌相差13。

**十六进制**

|扑克牌点数|方块♦️|梅花♣️|红心♥️|黑桃♠️|
| :-----: | :-----: | :-----: | :-----: | :-----: |
|A|1h|Eh|1bh|28h|
|2|2h|Fh|1ch|29h|
|3|3h|10h|1dh|2ah|
|4|4h|11h|1eh|2bh|
|5|5h|12h|1fh|2ch|
|6|6h|13h|20h|2dh|
|7|7h|14h|21h|2eh|
|8|8h|15h|22h|2fh|
|9|9h|16h|23h|30h|
|10|Ah|17h|24h|31h|
|J|Bh|18h|25h|32h|
|Q|Ch|19h|26h|33h|
|K|Dh|1ah|27h|34h|
|小王（35h）|\-|\-|\-|\-|
|大王（36h）|\-|\-|\-|\-|

***Tips：这里代码的定位也可以直接搜索含有******card****** 关键字的函数，看到类似******getCardNum****** 等函数就去下断尝试，速度会更快。***

### 2.1.3 内存中改牌
这一小节会令你十分兴奋，因为不用再忍受差牌了，在内存中改牌相当于你出了老千，可以纵横赌场和赌神媲美了哈哈。

在函数插入断点，如下图所示。
 ![图片描述](upload/attach/202511/996488_4E6BW3QA2UXXNX6.webp)

进入房间。断下。
 ![图片描述](upload/attach/202511/996488_P8VDZ73EEV4NA4Q.webp)

此时还卡在发牌阶段。

![图片描述](upload/attach/202511/996488_YQKUYPDVB7FFSGB.webp)

R1 = 36h，表示牌数值。往回跟。

![图片描述](upload/attach/202511/996488_2ZJ5AWUQV8HNJX2.webp)

退出房间，再进入。R1 = 36h，还仍然是其中的一张牌。再往回跟。

![图片描述](upload/attach/202511/996488_2V5HZDHCM6KM45U.webp)

R1来源于R2，R2又来源于R4.
 ![图片描述](upload/attach/202511/996488_98GG7TM4VE22E4C.webp)

看看R4存放了什么值，如下图所示。

![图片描述](upload/attach/202511/996488_HHEXW6QNDTWA2ZV.webp)

![图片描述](upload/attach/202511/996488_38X5FU2GNWT3EXJ.webp)

此时没有叫地主，所以只有17张牌。36 35 29 1C  0F 02 21 14   07 1E 11 10  25 12 1F 06  1D，和拿到的牌是一致的。

跟踪到了`lua_RunRule_RunRule_sortByWeight(lua_State *)`

R1的值来自于R6，如下图所示。
 ![图片描述](upload/attach/202511/996488_B8HVSV7CSPCUSE7.webp)

其中的函数`luaval_to_cards(lua_State *, int, std::vector<unsigned char> *, char const*)`

R2 = R6

R6是局部变量，`luaval_to_cards(lua_State *, int, std::vector<unsigned char> *, char const*)` 访问了R6，所以我们接下来重点看这个`luaval_to_cards` 函数。

![图片描述](upload/attach/202511/996488_K8DS3AYSRUW3K2R.webp)

往下看，发现了一个重要的函数。所在指令是： ![图片描述](upload/attach/202511/996488_YJ7GY5AEEPZFHBX.webp)

```text
BL              _ZNSt6vectorIhSaIhEE12emplace_backIJhEEEvDpOT_ ; std::vector<uchar>::emplace_back<uchar>(uchar &&)
```
 ![图片描述](upload/attach/202511/996488_GY4CHXUAYCRWSUB.webp)

`std::vector<uchar>::emplace_back<uchar>(uchar &&)` GPT解释如下：

> std::vector<uchar>::emplace\_back<uchar>(uchar &&) 是 std::vector 类的一个成员函数模板，属于 C++11 引入的 移动语义 特性的一部分。它允许你向 std::vector 的末尾高效地添加一个 uchar 类型的元素，且不会发生不必要的拷贝操作。这个版本的 emplace\_back 接受一个 右值引用（uchar &&），用于在容器末尾原地构造该元素。
> 解释
> std::vector<uchar>：这是一个存储 uchar 类型元素的动态数组，uchar 通常是 unsigned char 的别名（具体情况可能依赖于编译器或平台）。
> emplace\_back：emplace\_back 是 std::vector 提供的一个函数，用来直接在容器的末尾构造元素。它与 push\_back 不同，push\_back 会将一个已有对象拷贝到容器中，而 emplace\_back 通过完美转发构造函数的参数来直接在容器内部构造该元素，可以避免多余的拷贝或移动操作。
> uchar &&：这是一个右值引用类型，表示传递给 emplace\_back 的参数是一个 临时对象（右值）。右值引用使得编译器可以利用 移动语义，避免不必要的对象拷贝。
> 实际用途
> 假设你有一个 uchar 类型的临时对象（例如，可能是一个计算得出的结果），并且你想将其直接添加到 std::vector<uchar> 的末尾，而不希望进行拷贝构造或移动构造，可以使用这个 emplace\_back 版本：
> std::vector<uchar> vec;
> uchar value = 42;
> // 使用右值引用来构造元素并直接将其添加到容器中
> vec.emplace\_back(std::move(value));
> 
> 在这个例子中：
> std::move(value) 将 value 转换为右值引用，以便 emplace\_back 使用它来构造一个新的 uchar 元素。
> emplace\_back 会直接在 vec 的末尾构造 uchar 类型的元素，而不进行额外的拷贝或移动操作。
> 总结
> std::vector<uchar>::emplace\_back<uchar>(uchar &&) 通过右值引用高效地将一个临时的 uchar 元素添加到 vector 容器的末尾，而不产生不必要的拷贝。它的实现利用了 移动语义，在性能上比 push\_back 更为高效。
>

那么也许这个就是动态添加牌数值的函数。

插入断点调试如下：

![图片描述](upload/attach/202511/996488_3CWUTCX24TZXM4Y.webp)

多按几次F9，直至R4 = 0x11时，再F8 step over 这个函数。

要注意R0的值，`LDR             R0, [SP,#0x30+var_2C]`

如下图所示。

![图片描述](upload/attach/202511/996488_RDCEUZKUKBKGVCE.webp)

你会惊奇地发现R1是疑似容器指针，值`CC14B180` 和`CC14B191` 刚好相差0x11。

`CC14B180` 的内存空间如下图所示。

![图片描述](upload/attach/202511/996488_TB8AHEAWJ9U46VR.webp)
尝试把这里的值改动一下（都是大王或小王），也许就能成功出千了哈哈（**先忽略剩的3张底牌**），改动如下图所示。
 ![图片描述](upload/attach/202511/996488_S6QVYW6GCYBTXY3.webp)

取消断点，按下F9让程序继续运行，如下图所示。牌全部变成大王和小王了。

![图片描述](upload/attach/202511/996488_CDE9SUJQMHN28ZT.webp)

这个时候我们是一定要抢地主的，因为已经是稳赢了。而且还能成功打出去，如下图所示。

![图片描述](upload/attach/202511/996488_BJU8NMK8UWRAZ3H.webp)

最终身为地主的我胜利了，如下图所示。

![图片描述](upload/attach/202511/996488_AEKMT5XFE9Y7QDF.webp)

### 2.1.4 静态改牌和屏蔽引擎的热更新
在章节`2.1.1 解密luac文件` 我们可以得知，通知修改`\assets\src\game\libcard` 下的文件来实现静态改牌。要修改luac文件很简单，只需要把解密得到的lua文件使用工具加密，然后用010Editor在头部插入字节`bianfengqipai` 即可。

但是有一个问题，我修改了以上定义牌点的luac，重新打包、签名最后安装，但并没有生效。所以我又一次hook了文件打开函数。

frida hook的脚本如下。

```javascript

// 
setImmediate(my_hook_open);

// frida -U -f com.june.game.doudizhu.g.baidu -l file.js
// frida -U 单机斗地主 -l file.js
```
脚本输出如下，发现App并没有按照我们给定的牌点去发牌，而是疑似用了另外的luac定义的牌组发牌。
 ![图片描述](upload/attach/202511/996488_A53SMHJX98AZM5J.webp)

路径位于` /data/user/0/com.june.game.doudizhu.g.baidu/files/HotUpdateCacheDir/res/game/libcard/lib_sendcard1_6.lua` ，然而手机文件浏览器并没有发现它的踪影。

这里尝试了很久很久，因为我对手机游戏开发并不熟。后来才发现在没网的情况下才会去使用本地的牌组定义。

那么最终找到了路径`assets\src\bianfeng\hotupdate` 中的`HotUpdateManager.luac` 文件。

做出了两处修改，不能再改多了，否则程序会卡在主界面。

#### 修改1
 ![图片描述](upload/attach/202511/996488_JCVUW7YZPCC8WYP.webp)

```lua
function HotUpdateManager:compareVersionIsNew(oldVersion, newVersion)
    -- 禁止更新
    return false
end
```
#### 修改2
 ![图片描述](upload/attach/202511/996488_UECKP7N2RW3X5TB.webp)

添加这段代码的灵感来自于下图。
 ![图片描述](upload/attach/202511/996488_EDBXUY5XVDHBTZU.webp)

这样就能禁用App的热更新了。

#### 静态改牌
找到文件`assets\src\game\logic\ShuffleLogic.luac` ，改动如下图所示。好在注释里有手动添加牌点数的代码。

![图片描述](upload/attach/202511/996488_NXZ5XEVEPX8NWCB.webp)

**注意这里不能像内存修改那样了全部都是大王、小王，程序会在你出牌后卡住。两张王，然后若干个炸弹足够我们赢了。**

### 2.1.5 修改倍数
既然我们的胜利是板上钉钉的事情，那么我们的确该改改倍数，从而令自己赚更多钱。

改动的地方如下图所示。文件是`src\game\rule\DDZRunRule.luac`
 ![图片描述](upload/attach/202511/996488_27KARSXS7MW8FKZ.webp)

![图片描述](upload/attach/202511/996488_XPM87CJRXMD2YNB.webp)

# 3 整体效果
实现了手动内存、静态改牌和倍数的修改。相关的luac文件修改完毕后重新打包签名即可。

下图分别是修改前、后。注意观察倍数和牌型。

修改前：低倍数，一般的牌。底牌是随机的，赢钱少则几百块，多的刚刚过万。想升级称号是很难的。

![图片描述](upload/attach/202511/996488_GGMJWZKJWV5D846.webp)

修改后：高倍数，把把都是自己定义的好牌（出千了），赢钱一般都在千万级别。

![图片描述](upload/attach/202511/996488_9CWMBYUFYHMG2ZS.webp)

这里也能隐约看出另外两个人的牌特差哈哈，所以它们从主动不叫地主的。

![图片描述](upload/attach/202511/996488_XNQRUWGGVM3XFUC.webp)

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2025-11-17 01:41 被taeyeon_ss编辑，原因：

#逆向分析

收藏・16

点赞・74

打赏

赞赏记录

参与人

雪币

留言

时间

mb_dvqqrcce

你的帖子非常有用，感谢分享！

2026-9-11 17:12

张楚岚.

为你点赞！

2026-9-8 14:31

铭信

你的帖子非常有用，感谢分享！

2026-9-7 21:56

mb_lthgjpwj

为你点赞！

2026-8-20 17:32

wx_Mark_449

为你点赞！

2026-8-18 17:53

mb_wsoacceo

为你点赞！

2026-8-7 23:02

Wika

这个讨论对我很有帮助，谢谢！

2026-7-31 15:26

mb_ghcouuzx

你的帖子非常有用，感谢分享！

2026-7-28 03:54

北袅

非常支持你的观点！

2026-7-25 17:48

afishlong

谢谢你的细致分析，受益匪浅！

2026-7-14 02:04

mb_hsscwjpz

期待更多优质内容的分享，论坛有你更精彩！

2026-7-8 18:37

ulong9527

为你点赞！

2026-6-26 12:10

zhongdong

为你点赞！

2026-6-19 13:55

sice

感谢你分享这么好的资源！

2026-6-8 09:59

mb_mrjjcxgk

为你点赞！

2026-6-5 11:18

linchuan0

为你点赞！

2026-5-24 10:02

mb_vzrdquut

你的帖子非常有用，感谢分享！

2026-5-23 14:43

Dy1an

这个讨论对我很有帮助，谢谢！

2026-5-21 16:38

Ms135

非常支持你的观点！

2026-5-17 16:34

wjdidi

非常支持你的观点！

2026-5-7 00:37

LIU.YZ

期待更多优质内容的分享，论坛有你更精彩！

2026-3-3 13:53

青衫不负雪

感谢你分享这么好的资源！

2026-2-22 16:57

西提熊

这个讨论对我很有帮助，谢谢！

2026-2-4 17:49

少年游

期待更多优质内容的分享，论坛有你更精彩！

2026-2-2 16:44

onwyc123

为你点赞！

2026-1-29 21:54

Cherzsh

感谢你分享这么好的资源！

2026-1-27 16:55

mb_qptjldqd

这个讨论对我很有帮助，谢谢！

2026-1-25 23:16

mb_isbmbfet

你的分享对大家帮助很大，非常感谢！

2026-1-23 16:14

wcisang

感谢你的贡献，论坛因你而更加精彩！

2026-1-21 05:18

Max_hhg

感谢你的积极参与，期待更多精彩内容！

2026-1-7 20:23

BenBenWen

你的分享对大家帮助很大，非常感谢！

2025-12-30 19:34

LOVE.her

谢谢你的细致分析，受益匪浅！

2025-12-30 19:04

Zard_

非常支持你的观点！

2025-12-30 18:04

mb_vzsnpfhs

感谢你的贡献，论坛因你而更加精彩！

2025-12-30 15:39

chuj-

为你点赞！

2025-12-23 17:34

0xThawne

你的分享对大家帮助很大，非常感谢！

2025-12-18 09:36

water5555

谢谢你的细致分析，受益匪浅！

2025-12-4 18:37

苦瓜.

非常支持你的观点！

2025-11-27 14:27

ty1937

感谢你分享这么好的资源！

2025-11-27 09:51

bananaships

为你点赞！

2025-11-25 16:59

mb_liueenqt

为你点赞！

2025-11-24 22:34

Dr_Knox

期待更多优质内容的分享，论坛有你更精彩！

2025-11-22 18:08

大有可为

你的分享对大家帮助很大，非常感谢！

2025-11-22 08:35

powerpcer

非常支持你的观点！

2025-11-22 07:42

huluxia

感谢你的贡献，论坛因你而更加精彩！

2025-11-22 07:20

Old_Yuan

为你点赞！

2025-11-21 17:53

obtain

谢谢你的细致分析，受益匪浅！

2025-11-21 14:12

酋knave

期待更多优质内容的分享，论坛有你更精彩！

2025-11-21 14:00

皮皮虾啊

你的帖子非常有用，感谢分享！

2025-11-20 18:25

XiDP

为你点赞！

2025-11-20 16:17

x_req

感谢你的积极参与，期待更多精彩内容！

2025-11-20 11:36

mb_bcgnztsa

感谢你分享这么好的资源！

2025-11-20 10:38

npc0vo

感谢你的积极参与，期待更多精彩内容！

2025-11-20 01:13

Y6blNU1L

你的帖子非常有用，感谢分享！

2025-11-19 17:23

ChuXinﻬ.

你的帖子非常有用，感谢分享！

2025-11-19 11:09

mb_yscpiwow

你的帖子非常有用，感谢分享！

2025-11-19 10:40

.KK

期待更多优质内容的分享，论坛有你更精彩！

2025-11-18 18:20

便胜晴天

感谢你的积极参与，期待更多精彩内容！

2025-11-18 11:26

Lnju

感谢你的积极参与，期待更多精彩内容！

2025-11-18 10:30

ONewTach

这个讨论对我很有帮助，谢谢！

2025-11-18 09:04

mb_vhwdzyqo

期待更多优质内容的分享，论坛有你更精彩！

2025-11-17 21:48

我的小拇指啊

感谢你的贡献，论坛因你而更加精彩！

2025-11-17 21:45

mb_heqvlbnm

感谢你分享这么好的资源！

2025-11-17 18:01

mb_hhiypuwp

期待更多优质内容的分享，论坛有你更精彩！

2025-11-17 17:07

wangzehua

感谢你分享这么好的资源！

2025-11-17 14:29

huangyalei

这个讨论对我很有帮助，谢谢！

2025-11-17 13:22

git_47499test-look

为你点赞！

2025-11-17 13:08

niceday

你的帖子非常有用，感谢分享！

2025-11-17 12:03

doduhuang

感谢你分享这么好的资源！

2025-11-17 11:28

dofla

非常支持你的观点！

2025-11-17 11:14

马来

你的分享对大家帮助很大，非常感谢！

2025-11-17 10:43

mb_kgfqphsx

期待更多优质内容的分享，论坛有你更精彩！

2025-11-17 10:40

老小白

这个讨论对我很有帮助，谢谢！

2025-11-17 10:14

mb_bppcorlj

谢谢你的细致分析，受益匪浅！

2025-11-17 01:58

最新回复 (45) 1 2 ▶
十年后雪币： 10934 活跃值： (7017) 能力值： ( LV2，RANK：10 ) 在线值：发帖 24 回帖 182 粉丝 0 关注私信	十年后 2 楼学习了,非常精彩! 2025-11-17 09:32 0
mb_asiwnxyv 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 100 粉丝 0 关注私信	mb_asiwnxyv 3 楼感谢分享 2025-11-17 10:31 0
Ryanhn717 雪币： 209 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 8 粉丝 1 关注私信	Ryanhn717 4 楼学习了 2025-11-17 10:45 0
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 691 粉丝 7 关注私信	mb_ldbucrik 5 楼感谢分享 2025-11-17 11:57 0
mb_lakweznz 雪币： 5 活跃值： (287) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 31 粉丝 0 关注私信	mb_lakweznz 6 楼学了 2025-11-17 12:32 0
mb_vhwdzyqo 雪币： 215 活跃值： (210) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 15 粉丝 9 关注私信	mb_vhwdzyqo 7 楼哥能不能讲讲虚函数那个虚表怎么找的求求了 2025-11-17 21:48 0
lsword2000 雪币： 2616 活跃值： (3857) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 29 粉丝 1 关注私信	lsword2000 8 楼厉害,斗地主无敌 2025-11-18 08:54 1
taeyeon_ss 雪币： 1156 活跃值： (1892) 能力值： ( LV3，RANK：20 ) 在线值：发帖 2 回帖 22 粉丝 10 关注私信	taeyeon_ss 9 楼 mb_vhwdzyqo 哥能不能讲讲虚函数那个虚表怎么找的求求了构造函数会初始化虚表，虚表在类成员之前。具体的话建议你参考一下钱林松的《C++反汇编与逆向分析技术揭秘（第2版）》哦 2025-11-18 09:06 0
Y6blNU1L 雪币： 3477 活跃值： (4087) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 50 粉丝 3 关注私信	Y6blNU1L 10 楼麻烦请改好的apk发一下，让我也玩一下爽一下，谢谢~ 2025-11-19 17:48 0
欧尼哥妹雪币： 0 活跃值： (86) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	欧尼哥妹 11 楼不错的文章 2025-11-19 18:09 0
mb_qimctavn 雪币： 5219 活跃值： (6615) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 385 粉丝 1 关注私信	mb_qimctavn 12 楼 6 2025-11-19 18:41 0
cczheng 雪币： 2157 活跃值： (2402) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 8 粉丝 2 关注私信	cczheng 13 楼大佬，太强啦 2025-11-20 13:46 0
fiyta168 雪币： 306 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	fiyta168 14 楼非常精彩! 2025-11-20 18:21 0
Snark 雪币： 3993 活跃值： (5045) 能力值： ( LV5，RANK：70 ) 在线值：发帖 8 回帖 134 粉丝 87 关注私信	Snark 1 15 楼 111 2025-11-20 19:33 0
一栋奥特曼雪币： 59 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 66 粉丝 1 关注私信	一栋奥特曼 16 楼妙啊 2025-11-21 18:47 0
筹码雪币： 21 活跃值： (385) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 24 粉丝 0 关注私信	筹码 17 楼 666 2025-11-22 02:25 0
mb_4nrpVMxJ 雪币： 3764 活跃值： (105) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 92 粉丝 0 关注私信	mb_4nrpVMxJ 18 楼 666 2025-11-22 06:44 0
huluxia 雪币： 1940 活跃值： (2906) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 223 粉丝 3 关注私信	huluxia 19 楼 6666 2025-11-22 07:20 0
mb_irhdtnzm 雪币： 23 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 155 粉丝 0 关注私信	mb_irhdtnzm 20 楼 1 2025-11-22 08:40 0
Nudest 雪币： 6637 活跃值： (7241) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 113 粉丝 2 关注私信	Nudest 21 楼感谢分享 2025-11-22 23:22 0
LH风车岛雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	LH风车岛 22 楼感谢分享 2025-11-25 22:30 0
mb_tmatdhub 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_tmatdhub 23 楼 1 2025-11-26 20:01 0
ty1937 雪币： 3464 活跃值： (4512) 能力值： ( LV3，RANK：20 ) 在线值：发帖 3 回帖 36 粉丝 13 关注私信	ty1937 24 楼强啊，但是这样玩几局就感觉没有意思了。 2025-11-27 09:54 0
style 雪币： 111 活跃值： (356) 能力值： ( LV2，RANK：10 ) 在线值：发帖 32 回帖 121 粉丝 1 关注私信	style 25 楼 666 2025-11-27 13:48 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

taeyeon_ss

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (45) 1 2 ▶
十年后雪币： 10934 活跃值： (7017) 能力值： ( LV2，RANK：10 ) 在线值：发帖 24 回帖 182 粉丝 0 关注私信	十年后 2 楼学习了,非常精彩! 2025-11-17 09:32 0
mb_asiwnxyv 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 100 粉丝 0 关注私信	mb_asiwnxyv 3 楼感谢分享 2025-11-17 10:31 0
Ryanhn717 雪币： 209 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 8 粉丝 1 关注私信	Ryanhn717 4 楼学习了 2025-11-17 10:45 0
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 691 粉丝 7 关注私信	mb_ldbucrik 5 楼感谢分享 2025-11-17 11:57 0
mb_lakweznz 雪币： 5 活跃值： (287) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 31 粉丝 0 关注私信	mb_lakweznz 6 楼学了 2025-11-17 12:32 0
mb_vhwdzyqo 雪币： 215 活跃值： (210) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 15 粉丝 9 关注私信	mb_vhwdzyqo 7 楼哥能不能讲讲虚函数那个虚表怎么找的求求了 2025-11-17 21:48 0
lsword2000 雪币： 2616 活跃值： (3857) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 29 粉丝 1 关注私信	lsword2000 8 楼厉害,斗地主无敌 2025-11-18 08:54 1
taeyeon_ss 雪币： 1156 活跃值： (1892) 能力值： ( LV3，RANK：20 ) 在线值：发帖 2 回帖 22 粉丝 10 关注私信	taeyeon_ss 9 楼 mb_vhwdzyqo 哥能不能讲讲虚函数那个虚表怎么找的求求了构造函数会初始化虚表，虚表在类成员之前。具体的话建议你参考一下钱林松的《C++反汇编与逆向分析技术揭秘（第2版）》哦 2025-11-18 09:06 0
Y6blNU1L 雪币： 3477 活跃值： (4087) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 50 粉丝 3 关注私信	Y6blNU1L 10 楼麻烦请改好的apk发一下，让我也玩一下爽一下，谢谢~ 2025-11-19 17:48 0
欧尼哥妹雪币： 0 活跃值： (86) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	欧尼哥妹 11 楼不错的文章 2025-11-19 18:09 0
mb_qimctavn 雪币： 5219 活跃值： (6615) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 385 粉丝 1 关注私信	mb_qimctavn 12 楼 6 2025-11-19 18:41 0
cczheng 雪币： 2157 活跃值： (2402) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 8 粉丝 2 关注私信	cczheng 13 楼大佬，太强啦 2025-11-20 13:46 0
fiyta168 雪币： 306 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	fiyta168 14 楼非常精彩! 2025-11-20 18:21 0
Snark 雪币： 3993 活跃值： (5045) 能力值： ( LV5，RANK：70 ) 在线值：发帖 8 回帖 134 粉丝 87 关注私信	Snark 1 15 楼 111 2025-11-20 19:33 0
一栋奥特曼雪币： 59 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 66 粉丝 1 关注私信	一栋奥特曼 16 楼妙啊 2025-11-21 18:47 0
筹码雪币： 21 活跃值： (385) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 24 粉丝 0 关注私信	筹码 17 楼 666 2025-11-22 02:25 0
mb_4nrpVMxJ 雪币： 3764 活跃值： (105) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 92 粉丝 0 关注私信	mb_4nrpVMxJ 18 楼 666 2025-11-22 06:44 0
huluxia 雪币： 1940 活跃值： (2906) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 223 粉丝 3 关注私信	huluxia 19 楼 6666 2025-11-22 07:20 0
mb_irhdtnzm 雪币： 23 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 155 粉丝 0 关注私信	mb_irhdtnzm 20 楼 1 2025-11-22 08:40 0
Nudest 雪币： 6637 活跃值： (7241) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 113 粉丝 2 关注私信	Nudest 21 楼感谢分享 2025-11-22 23:22 0
LH风车岛雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	LH风车岛 22 楼感谢分享 2025-11-25 22:30 0
mb_tmatdhub 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_tmatdhub 23 楼 1 2025-11-26 20:01 0
ty1937 雪币： 3464 活跃值： (4512) 能力值： ( LV3，RANK：20 ) 在线值：发帖 3 回帖 36 粉丝 13 关注私信	ty1937 24 楼强啊，但是这样玩几局就感觉没有意思了。 2025-11-27 09:54 0
style 雪币： 111 活跃值： (356) 能力值： ( LV2，RANK：10 ) 在线值：发帖 32 回帖 121 粉丝 1 关注私信	style 25 楼 666 2025-11-27 13:48 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复