[原创]ELF GOT Hook 实战-逆向工程-看雪安全社区｜专业技术交流与安全研究论坛

> 本文仅用于**安全研究与技术学习**，请勿用于任何违法用途。

---

## 起因

最近沉迷某游戏，排位连跪，手机正好有 root，于是开始研究内核G。找到一个好用的G，但卡密高达 **一天 8 元**。本着「能动手就别动钱包」的原则，决定研究如何破解卡密验证。

## 初步分析

### 第一步：识别文件格式

拿到目标文件（一个 `.sh` 脚本），直接拖入 IDA Pro，提示**不是 ELF 格式**。
 ![图片描述](upload/attach/202604/1069137_2JRDT46FGJABJ39.webp)
用十六进制编辑器打开
 ![图片描述](upload/attach/202604/1069137_XEXCFBR6YR369A4.webp)发现文件头部特征是经典的 **gzexe 压缩加密** —— 这是一种 Linux 下常见的可执行文件压缩方式，本质上是把 ELF 用 gzip 压缩后包裹在一个 shell 脚本里。

### 第二步：解压还原

```bash
gzexe -d MG
```

解压后得到真正的 ELF 二进制，重新拖入 IDA Pro。

### 第三步：面对混淆

IDA 分析结果显示：

- **严重的 OLLVM 混淆** —— 控制流平坦化，大量虚假分支
- **字符串加密** —— 所有关键字符串（URL、密钥等）在二进制中不可见，运行时动态解密
 ![图片描述](upload/attach/202604/1069137_UB4JEZQCJNDZEEE.webp)
 ![图片描述](upload/attach/202604/1069137_U6P7G4JBVPJ6UAZ.webp)
这意味着静态分析几乎无法直接定位关键逻辑。

## 抓包定位卡密验证

既然静态分析困难，转向**动态分析**。手机端抓包发现卡密验证请求指向：
 ![图片描述](upload/attach/202604/1069137_B3G9SCH6GE5FVXS.webp)
```
http://8i0LqloF.不方便展示.cn/api/?id=kmlogon&app=51642
```

关键参数：**`app=51642`** —— 这是该挂在卡密验证平台上的 App ID。

### 验证平台分析

该挂使用的是**微卡验证**平台。恰好我也有这个平台的账号，可以自建后台、自定义配置。

经过大量动态调试（Frida + IDA 远程调试），成功还原了目标挂的后台配置数据，并将其复制到了自己的微卡验证后台。

> ⚠️ 本文主题是 **GOT Hook 静态补丁技术**，动态调试过程不在此展开。重点是为大家提供一个面对 OLLVM 混淆 + 字符串加密的 ELF 时的**解题思路**。

## 核心思路

现在问题变得很简单：

> **把二进制中发送的 App ID 从 `51642` 改成我自己的 ID，卡密验证就会走我自己的后台。**

但是，由于 OLLVM 字符串加密，`51642` 这个字符串在二进制中**根本找不到** —— 它是运行时解密后才出现在内存中的。

传统的十六进制补丁？不行。
修改解密逻辑？OLLVM 混淆下太复杂。

那怎么办？

### 答案：GOT Hook

不需要理解混淆逻辑，不需要解密字符串 —— **在数据发送出去的那一刻拦截并修改**。

程序最终要把数据发送到服务器，必然要调用网络发送函数。通过分析，该程序使用 `sendto()` 发送 UDP 数据报。我们只需要：

1. **Hook `sendto()` 函数** —— 在数据发出前拦截
2. **扫描发送缓冲区** —— 搜索原始 App ID `51642`
3. **替换为自己的 ID** —— 原地修改，长度不变
4. **正常发送** —— 调用真实 `sendto()`，程序无感知

这就是 **GOT Hook** 的威力：**绕过所有混淆，直接在数据出口动手**。

## 什么是 GOT Hook？

### GOT（Global Offset Table，全局偏移表）

ELF 动态链接二进制调用外部函数（如 `sendto()`）时，不会直接跳转到 libc，而是通过 GOT 表间接调用：

```
正常调用链：
  代码 → 读取 GOT[sendto] → 跳转到 libc sendto()

Hook 后：
  代码 → 读取 GOT[sendto] → 跳转到我们的 hook 函数 → 修改数据 → 调用真实 sendto()
```

**关键点**：GOT 表位于 **rw-（可读写）** 内存段，可以在运行时被修改。

### 为什么选择 Hook `sendto`？

`sendto()` 是发送 UDP 数据报的系统调用封装，签名如下：

```c
ssize_t sendto(int fd, const void *buf, size_t len, int flags,
               const struct sockaddr *dest_addr, socklen_t addrlen);
```

- **`buf`（第 2 个参数）** —— 发送缓冲区，包含即将发出的数据
- **`len`（第 3 个参数）** —— 数据长度

我们的 hook 只需要在 `buf` 中搜索 App ID 并替换，然后原样调用真实 `sendto()` 即可。

> **不只是 `sendto`** —— 根据目标程序的实际情况，你也可以 hook `send()`、`write()`、`SSL_write()` 等任何通过 GOT 调用的函数。核心思路完全一致。

### 本工具的 Hook 流程

```
┌──────────────────────────────────────────────────────────┐
│  ELF 二进制（patch 前）                                   │
│                                                          │
│  .init_array[N] ──RELA──▶ original_init()               │
│  GOT[sendto]    ────────▶ libc sendto（可能已混淆）      │
│  code cave      ────────▶ 0x00 0x00 ... （全零填充）     │
└──────────────────────────────────────────────────────────┘

▼  patcher.exe + config.json  ▼

┌──────────────────────────────────────────────────────────┐
│  ELF 二进制（patch 后）                                   │
│                                                          │
│  .init_array[N] ──RELA──▶ init_wrapper() ◄── code cave  │
│                           │                              │
│                           ├─ 调用 original_init()        │
│                           ├─ 保存真实 sendto 到 BSS 槽   │
│                           └─ GOT[sendto] = hook_sendto   │
│                                                          │
│  hook_sendto():                                          │
│    ├─ 扫描 buf 搜索 "51642"                              │
│    ├─ 替换为我的 App ID                                  │
│    └─ 尾调用真实 sendto()                                │
└──────────────────────────────────────────────────────────┘
```

#### 运行时执行时序

```
程序启动
  │
  ├─ 动态链接器解析 .init_array
  │   └─ RELA addend 指向 code cave → 调用 init_wrapper()
  │       │
  │       ├─ ① 调用原始 init 函数（保持程序正常初始化）
  │       ├─ ② 读取 GOT[sendto]，减去混淆常量，得到真实地址
  │       ├─ ③ 将真实 sendto 地址存入 BSS 空闲槽
  │       └─ ④ 将 hook_sendto 地址（加混淆常量）写入 GOT
  │
  ├─ 程序正常运行，卡密验证逻辑解密字符串、构造请求 ...
  │
  └─ 调用 sendto(fd, "...app=51642...", len, ...)
      └─ 实际跳转到 hook_sendto()
          ├─ 扫描 buf，找到 "51642"
          ├─ 原地替换为自己的 App ID
          └─ 尾调用真实 sendto() → 数据发往服务器
              └─ 服务器收到的是修改后的 App ID ✓
```

### OLLVM GOT 混淆处理

这个二进制受 OLLVM 保护，GOT 中存储的不是真实函数地址，而是**混淆后的值**：

```
GOT[sendto] = 真实地址 + 混淆常量
真实地址    = GOT[sendto] - 混淆常量
```

我们的工具通过 `got_addend` 配置项处理这种情况，安装 hook 时保持混淆方式一致，程序完全无感知。

---

## 实战：如何获取 GOT 地址

玩过 SimpleHook 的应该都知道，SimpleHook 可以自定义类名和方法名来 hook Java 层函数。`sendto` 在这里就相当于「方法名」—— 只不过这是 native 层的函数，运行在 ARM64 ELF 中，我们需要获取它在 GOT 表中的**实际地址**。

### 用 IDA Pro 定位 `got_sendto` 和 `got_addend`

**步骤：**

1. 在 IDA 中找到 `sendto` 方法名
2. 按住方法名 → **右键** → **Xrefs graph to...**
3. 在交叉引用图中可以看到两个关键地址：

| 你看到的位置 | 对应配置字段 | 含义 |
|-------------|-------------|------|
| `data` 段中引用 `sendto` 的位置 | `got_sendto` | GOT 表项的虚拟地址 |
| `MOVZ+MOVK×3` 指令中的 64 位常量 | `got_addend` | GOT 混淆常量（OLLVM 特有） |

![图片描述](upload/attach/202604/1069137_ZXPRWAKEUDRZG5K.webp)

`got_sendto` 就是 GOT 表中存储 `sendto` 函数指针的那个槽位地址。`got_addend` 是 OLLVM 用来混淆 GOT 值的 64 位常量（如果目标没有 OLLVM 混淆，填 `0` 即可）。

### `sendto` 的本质 —— 理解 `buf` 参数

```c
ssize_t sendto(int fd, const void *buf, size_t len, int flags,
               const struct sockaddr *dest_addr, socklen_t addrlen);
```

- **`buf`（第 2 个参数）** 就是**请求体** —— 程序即将发送的数据
- 我们通过 hook `sendto`，在发送前**扫描并修改 `buf` 的内容**，就能实现动态替换字符串

这和 SimpleHook 修改方法参数是同一个思路，只不过这里是在 **native 层、二进制级别**操作。

---

## 开源项目：elf-got-patcher

知道了这些基本信息之后，就需要自己写 GOT Hook 了。为了方便大家理解和使用，我开源了一个工具：

** <a href="elink@ec6K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6x3k6h3!0o6K9r3g2F1i4K6u0V1b7$3!0J5k6f1#2A6L8X3c8Q4x3V1k6W2L8r3k6Q4x3X3c8Y4L8%4c8Q4x3X3c8H3j5i4c8U0K9r3g2J5">elf-got-patcher</a>**

这个工具的核心思想：**纯 C 编写 shellcode，编译成裸 ARM64 二进制，通过 patcher 注入到 ELF 的 code cave 中**。

### 关键代码解析

#### 1. init_wrapper —— 如何注入进 ELF

ELF 有一个 `.init_array` 段，里面存放程序启动时自动调用的初始化函数。我们的注入方式：

- 找到 `.init_array` 中最后一个 RELA 条目
- 修改它的 addend，**让它指向我们的 code cave**
- 程序启动时就会自动调用我们的 `init_wrapper`

```c
// init_wrapper 的核心逻辑：
void init_wrapper(void)
{
    // 计算 ASLR 基址偏移
    uint64_t base = (uint64_t)&g_config - g_config.self_va;

// ① 先调用原始 init 函数（不破坏程序原有逻辑）
    void (*orig)(void) = (void (*)(void))(base + g_config.orig_init);
    orig();

// ② 从 GOT 表读取 sendto 地址，减去混淆常量，得到真实地址
    uint64_t *got  = (uint64_t *)(base + g_config.got_sendto);
    uint64_t  real = *got - g_config.got_addend;

// ③ 保存真实 sendto 到 BSS 槽位（后面 hook 要用）
    *(uint64_t *)(base + g_config.saved_sendto) = real;

// ④ 把 hook 函数地址写入 GOT（加回混淆常量保持一致）
    *got = (uint64_t)&hook_sendto + g_config.got_addend;
}
```

**原理图：**

```
修改前：.init_array RELA addend → original_init()
修改后：.init_array RELA addend → init_wrapper()（在 code cave 中）
                                    │
                                    ├─ 调用 original_init()  ← 保持原有逻辑
                                    └─ 篡改 GOT[sendto]      ← 安装 hook
```

#### 2. hook_sendto —— 拦截并修改请求体

```c
ssize_t hook_sendto(int fd, const void *buf, size_t len, int flags,
                    const struct sockaddr *dst, socklen_t addrlen)
{
    // 在 buf 中搜索所有配置的 needle，找到就替换
    if (buf && g_config.pair_count)
        scan_and_replace((uint8_t *)buf, len);

// 调用真实 sendto，发送修改后的数据
    uint64_t base = (uint64_t)&g_config - g_config.self_va;
    sendto_fn real = *(sendto_fn *)(base + g_config.saved_sendto);
    return real(fd, buf, len, flags, dst, addrlen);
}
```

`scan_and_replace` 会遍历配置中的所有 needle/replace 对，在 `buf` 中逐字节搜索匹配，找到就原地替换：

```c
// 简化后的核心逻辑：
for (每个 needle/replace 对) {
    for (buf 中的每个位置) {
        if (当前位置开始的 N 字节 == needle) {
            memcpy(当前位置, replace, N);  // 原地替换
            break;  // 每对只替换一次
        }
    }
}
```

#### 3. 哨兵配置池 —— 同一份 shellcode 适配不同目标

shellcode 中所有地址都用 `0xCAFEBABE` 开头的哨兵值占位：

```c
struct config_pool g_config = {
    .self_va      = 0xCAFEBABE00000001,  // patcher 填入实际 VA
    .orig_init    = 0xCAFEBABE00000002,  // patcher 填入原始 init VA
    .got_sendto   = 0xCAFEBABE00000003,  // patcher 填入 GOT 地址
    .got_addend   = 0xCAFEBABE00000004,  // patcher 填入混淆常量
    // ...
};
```

Patcher 在注入时扫描这些哨兵，替换为实际地址。这样**同一份 `hook.bin` 可以适配任何目标**，只需要更换 JSON 配置。

---

## 使用方法

### 1. 编译

```powershell
# 设置 Android NDK 路径
$env:ANDROID_NDK = "C:\path\to\ndk"

# 一键编译（shellcode + patcher）
.\build.bat
```

### 2. 编写 JSON 配置

```json
{
    // 目标 ELF 文件路径
    "input":    "../MG_orig",
    "output":   "../MG_patched",
    "payload":  "shellcode/hook.bin",

// IDA 中获取的地址
    "got_sendto":  "0x29A0B8",     // GOT 表项地址（Xrefs graph → data 位置）
    "got_addend":  "0x25B41D7A03EB0111",  // 混淆常量（MOVZ+MOVK×3）

// 替换规则：原始 App ID → 我的 App ID
    "needle":   "51642",
    "replace":  "35029",

// 可选：开启调试日志
    "debug_flag": "1",
    "debug_path": "/data/local/tmp/mg_sendto.log"
}
```

> `cave_va`、`cave_off`、`rela_addend_off`、`orig_init`、`saved_sendto` 均支持**自动检测**，大多数情况下不需要手动填写。

### 3. 执行 Patch

```powershell
.\patcher.exe configs\my_config.json
```

输出示例：

```
[+] payload shellcode/hook.bin : 970 bytes
[+] input  ..\MG_orig : 2681320 bytes
[*] auto-detecting code cave ...
[+] auto-cave: off=0x7d340 va=0x7d340 (1016 bytes avail)
[*] auto-detecting .init_array RELA ...
[+] auto-rela: 4 entries, using last: addend_off=0x1ae8 orig_init=0xef320
[*] auto-detecting BSS slot ...
[+] auto-bss: saved_sendto VA=0x29a5f0
[+] g_config patched at payload off 0x248 (self_va=0x7d588)
    pair[0] "51642" -> "35029"
    debug ON -> /data/local/tmp/mg_sendto.log

=========================================
PATCH OK : ..\MG_orig -> ..\MG_patched
  payload @ file 0x7d340 (VA 0x7d340) 970 bytes
  RELA addend @ 0x1ae8 : 0xef320 -> 0x7d340
=========================================
```

### 4. 推送到手机

```bash
adb push MG_patched /data/local/tmp/
adb shell "su -c 'cp /data/local/tmp/MG_patched /target/path/MG; chmod 755 /target/path/MG'"
```

### 5. 验证效果

如果开启了 debug_flag，可以导出日志查看修改后的请求：

```bash
adb pull /data/local/tmp/mg_sendto.log
```

用 Python 解析日志：

```python
import struct, sys
d = open(sys.argv[1], 'rb').read(); o = 0
while o + 8 <= len(d):
    n = struct.unpack('<Q', d[o:o+8])[0]; o += 8
    print(d[o:o+n]); o += n + 1
```

如果看到请求中 `app=35029`（你的 ID）而不是 `app=51642`（原始 ID），说明 hook 成功 ✓

### 6. 实战验证：先用 Debug 模式跑一遍

在正式修改之前，建议**先开启 debug 模式观察原始流量**，确认目标字符串确实存在于 `sendto` 的发送缓冲区中。

配置中设置：

```json
"debug_flag": "1",
"debug_path": "/data/local/tmp/mg_sendto.log"
```

![图片描述](upload/attach/202604/1069137_3N3XHYTQ39H5GDJ.webp)

查看日志内容，发现确实捕获到了 `35029` 这个 App ID —— 这就是程序运行时解密后、即将发送的真实请求体。**字符串加密在发送那一刻已经被解密了，全部暴露在 `buf` 中。**

确认目标字符串存在后，配置 needle/replace 进行替换，把 `35029` 改成自己的 App ID，重新 patch 即可。

验证修改成功后，**关闭调试模式**（`debug_flag` 设为 `0` 或删除该字段），去掉日志开销，即完成最终部署。
 ![图片描述](upload/attach/202604/1069137_VY6S8QNZ2QUHASW.webp)
---

> ⚡ **实际场景提醒**：本文以 `sendto` + App ID 替换为例，但现实中每个目标的情况都不一样 —— 可能用的是 `send()`、`write()`、甚至自定义的加密通信函数；要替换的可能是 URL、Token、设备指纹等任何字段。**核心方法论是通用的，具体操作需要根据你的实际逆向分析结果随机应变。**

---

## 总结

面对 OLLVM 混淆 + 字符串加密的 ELF 二进制，传统的静态补丁几乎不可能。本文的思路是：

1. **不与混淆正面交锋** —— 不去解密字符串、不去理解控制流平坦化
2. **抓住数据出口** —— 程序无论怎么混淆，最终都要调用系统函数发送数据
3. **GOT Hook 拦截** —— 在 GOT 表层面替换函数指针，在数据发送前修改内容
4. **纯静态补丁** —— 不需要 Frida、不需要 root 注入框架，直接修改 ELF 文件

这个思路不仅适用于卡密验证绕过，也适用于任何需要**修改 native 层网络请求**的场景甚至于修改方法参数里的各种字符串实现你想实现的效果。希望对大家有帮助。

>  工具开源地址：**<a href="elink@2e9K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6x3k6h3!0o6K9r3g2F1i4K6u0V1b7$3!0J5k6f1#2A6L8X3c8Q4x3V1k6W2L8r3k6Q4x3X3c8Y4L8%4c8Q4x3X3c8H3j5i4c8U0K9r3g2J5">elf-got-patcher</a>**
>
> 欢迎 Star ⭐ 和提 Issue！

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

最后于 2026-4-27 23:25 被LeoChen..编辑，原因：

#调试逆向

最新回复 (45) 1 2 ▶
iBa0 雪币： 1560 活跃值： (5848) 能力值： ( LV4，RANK：40 ) 在线值：发帖 6 回帖 483 粉丝 37 关注私信	iBa0 2 楼为什么不试一试eBPF或者KPM模块拦截__NR_sendto系统调用呢，libc走的还是svc。静态patch确实有说法，但是现在都是svc调用了，不走GOT表 2026-4-28 10:19 1
LeoChen.. 雪币： 3294 活跃值： (1019) 能力值： ( LV8，RANK：130 ) 在线值：发帖 7 回帖 7 粉丝 64 关注私信	LeoChen.. 3 3 楼 iBa0 为什么不试一试eBPF或者KPM模块拦截__NR_sendto系统调用呢，libc走的还是svc。静态patch确实有说法，但是现在都是svc调用了，不走GOT表能解决就行了，这个无所谓 2026-4-28 11:14 0
mb_qimctavn 雪币： 5244 活跃值： (6655) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 390 粉丝 1 关注私信	mb_qimctavn 4 楼 6 2026-4-28 11:31 0
Imxz 雪币： 112 活跃值： (9435) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 754 粉丝 9 关注私信	Imxz 5 楼 tql 2026-4-28 12:11 0
玄狐清梦雪币： 233 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	玄狐清梦 6 楼 look 2026-4-28 12:34 0
mb_ghcouuzx 雪币： 374 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 38 粉丝 0 关注私信	mb_ghcouuzx 7 楼看看 2026-4-28 13:41 0
52bug 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 43 粉丝 0 关注私信	52bug 8 楼学习 2026-4-30 20:22 1
mb_dmryhnwz 雪币： 10 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 91 粉丝 0 关注私信	mb_dmryhnwz 9 楼 6 2026-5-4 18:16 0
mb_dmryhnwz 雪币： 10 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 91 粉丝 0 关注私信	mb_dmryhnwz 10 楼你这个是这个验证的v1版本，除了那两个密匙他不是还需要一个状态码吗？状态码你怎么知道是什么 2026-5-4 18:21 0
cecini 雪币： 11 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 34 粉丝 0 关注私信	cecini 11 楼对不起，只能先回复再查看再回复。 2026-5-5 08:23 0
啊你好哇123 雪币： 735 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 362 粉丝 0 关注私信	啊你好哇123 12 楼学习学习最后于 2026-5-5 15:55 被啊你好哇123编辑，原因： 2026-5-5 15:53 0
yuanyouran 雪币： 305 活跃值： (3075) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 184 粉丝 0 关注私信	yuanyouran 13 楼学习学习 2026-5-5 19:58 0
需要渗透高手雪币： 114 活跃值： (280) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 42 粉丝 1 关注私信	需要渗透高手 14 楼学习中。 2026-5-5 21:03 0
LeoChen.. 雪币： 3294 活跃值： (1019) 能力值： ( LV8，RANK：130 ) 在线值：发帖 7 回帖 7 粉丝 64 关注私信	LeoChen.. 3 15 楼动态分析啊，还能怎么知道 2026-5-6 10:37 0
mb_mslabhbx 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_mslabhbx 16 楼牛逼，真是大佬，要看好久才能李姐 2026-5-6 11:23 1
mb_kzmvmbnb 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_kzmvmbnb 17 楼牛逼 2026-5-9 15:54 1
mb_mihutdve 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 64 粉丝 0 关注私信	mb_mihutdve 18 楼 1 2026-5-9 17:47 0
n00bzx 雪币： 2703 活跃值： (3859) 能力值： ( LV12，RANK：286 ) 在线值：发帖 7 回帖 52 粉丝 10 关注私信	n00bzx 2 19 楼 Vmp写得不错,可扩展性很好,兄弟加油 2026-5-14 03:16 0
qqsunqiang 雪币： 447 活跃值： (799) 能力值： ( LV2，RANK：10 ) 在线值：发帖 15 回帖 264 粉丝 0 关注私信	qqsunqiang 20 楼 thanks 2026-5-15 08:33 0
ZACSN12 雪币： 241 活跃值： (1150) 能力值： ( LV2，RANK：15 ) 在线值：发帖 0 回帖 40 粉丝 0 关注私信	ZACSN12 21 楼 666 2026-5-17 14:03 0
niama 雪币： 277 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 36 粉丝 0 关注私信	niama 22 楼 666 2026-5-18 12:57 0
ivy1 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 30 粉丝 1 关注私信	ivy1 23 楼 666 2026-5-18 14:54 0
mb_wiunonrx 雪币： 198 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_wiunonrx 24 楼看看 2026-5-18 20:51 0
CCTV9 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 3 回帖 53 粉丝 2 关注私信	CCTV9 25 楼 11111111111111 2026-5-23 00:17 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复