〥羽〥 發表於 2008-12-25 22:02:44

[轉貼]VB 從零開始編外掛(七)

前天晚上我跟封包玩了一晚上,因才開始(第一次跟封包)說一下我一晚上的發現吧
我是直接用WPE截取的,因為金山遊戲本身都有截取封包的保護措施(就像MM所說),直接用WPE截取我是截取不到的,後來用Ollydbg調試的時候才截取的到。
經過前面的準備,封報的明文準備已經OK,準備進行加密,加密方式是取一個4位元組的數位,對封包進行Xor運算,運算完畢後就直接發送出去,我核對過用WPE截取封包的資料,和我看到的運算結果完全一致,這說明只要用那個4位元組的數位對封包進行反Xor運算就可以得到明文的封包。
其實說白了那個4位元組的數位就是每次加密的密匙,也就是伺服器認可的,這個4位元組怎麼得出的我就沒跟了,暫時只發現只要不更換場景,4位元組密匙不會更變。
相同道理,服務返回的資訊也是經過4位元組Xor運算處理了的,用戶端解密時候取服務端4位元組密匙對封包進行解密就可以得到明文封包。
大體說下封神封包加密解密流程
Send:
1,製造明文封包
2,取4位元組Send密匙
3,用4位元組密匙對封包進行Xor運算(保留前2位元),最後不足4位元組進行單字節運算。
4,發送。
Revc:
1,收到封包
2,取4位元組Revc密匙
3,用4位元組密匙對封包進行Xor運算(保留前2位元),最後不足4位元組進行單字節運算。
4,對明文封包進行分析

------------------------------------------------------------------------------------
以上的方法比較累人!下面說說本地製作吧(既是用大家熟悉的FPE等軟體)
製作輔助外掛(自動加血,自動加藍,免負重等等)
HP的位址是不固定的,我使用金山遊俠先找出當前的那個位址,
然後使用softice對該位址設置中斷點,softice應該會立刻斷住,
你會看見MOV DWORD PTR DS:,EDI,
在用戶端中,位置是0x4B2C74,
你可以修改遊戲的進程,
把MOV DWORD PTR DS:,
EDI改成一個E9 XX XX XX XX 90 90,
JMP到進程中.rsrc和.data之間的空餘位址,
把(XX XX XX XX) + 0x4B2C74 + 5處的代碼修改成MOV Y, EDI,
下一條做原來的MOV DWORD PTR DS:,EDI,
再來個E9 ZZ ZZ ZZ ZZ,
設置好ZZ ZZ ZZ ZZ使其再跳到原來DWORD PTR DS:,
EDI的下一句,就是0x4B2C7B處,
這樣HP的位址就固定下來了,只要看Y就知道HP了。
------------------------------------------------------------------------------------
下麵說說客服端的破解(小試牛刀!)有興趣的朋友可以製作一個DLL
來實現加血鎖定血量!
.text:004E8EF0 sub_4E8EF0   proc near         
.text:004E8EF0
.text:004E8EF0 arg_0       = dword ptr 4
.text:004E8EF0 arg_4       = dword ptr 8
.text:004E8EF0 arg_8       = dword ptr 0Ch
.text:004E8EF0
.text:004E8EF0         mov   ecx, ; 可能是長度LEN位址
.text:004E8EF4         push   ebx
.text:004E8EF5         mov   eax, ; 緩存地址
.text:004E8EF9         push   esi
.text:004E8EFA         mov   esi, ecx
.text:004E8EFC         push   edi
.text:004E8EFD         mov   edi, ; 加密KEY地址
.text:004E8F01         and   esi, 3         ;相當於緩存長度除以4的餘數
.text:004E8F04         shr   ecx, 2         ;相當於緩存長度除以4的商
.text:004E8F07         mov   edx,        ;把加密KEY值放進edx
.text:004E8F09         mov   ebx, ecx         ;
.text:004E8F0B         dec   ecx             ;
.text:004E8F0C         test   ebx, ebx         ;
.text:004E8F0E         jbe   short loc_4E8F1E   ;判斷跳轉
.text:004E8F10         inc   ecx             ;
.text:004E8F11
.text:004E8F11 loc_4E8F11:                  
.text:004E8F11         mov   ebx,
.text:004E8F13         add   eax, 4
.text:004E8F16         xor   ebx, edx       ;異或運算,EDX=KEY的值,核心運算
.text:004E8F18         dec   ecx
.text:004E8F19         mov   , ebx
.text:004E8F1C         jnz   short loc_4E8F11 ;相當於FOR迴圈運算
.text:004E8F1E
.text:004E8F1E loc_4E8F1E:                  
.text:004E8F1E         mov   ecx, esi
.text:004E8F20         dec   esi
.text:004E8F21         test   ecx, ecx
.text:004E8F23         jbe   short loc_4E8F35
.text:004E8F25         lea   ecx,
.text:004E8F28
.text:004E8F28 loc_4E8F28:                  
.text:004E8F28         mov   bl,    
.text:004E8F2A         xor   bl, dl       ;異或運算
.text:004E8F2C         mov   , bl
.text:004E8F2E         inc   eax
.text:004E8F2F         shr   edx, 8
.text:004E8F32         dec   ecx
.text:004E8F33         jnz   short loc_4E8F28;相當於FOR迴圈運算
.text:004E8F35
.text:004E8F35 loc_4E8F35:                     KEY付值運算;
.text:004E8F35         mov   eax,
.text:004E8F37         mov   edx, eax
.text:004E8F39         shl   edx, 5
.text:004E8F3C         sub   edx, eax
.text:004E8F3E         mov   eax, 1
.text:004E8F43         add   edx, 8088405h
.text:004E8F49         mov   , edx   KEY付值
.text:004E8F4B         pop   edi
.text:004E8F4C         pop   esi
.text:004E8F4D         pop   ebx
.text:004E8F4E         retn
.text:004E8F4E sub_4E8EF0   endp
------------------------------------------------------------------------------------
今天就到這裡
------------------------------------------------------------------------------------
頁: [1]
查看完整版本: [轉貼]VB 從零開始編外掛(七)