打印

[讨论] CG-X-SEVER反挂分析(带破解--全汇编)

HOHO

妖使

Rank: 3 Rank: 3 Rank: 3

UID: 3805
精华: 2
积分: 1073
威望: 0 度

阁楼大中小发表于 2013-12-11 00:41 只看该作者

CG-X-SEVER反挂分析(带破解--全汇编)

使用软件XueTr和CE6.4驱动版

启动游戏后一共有十个HOOK~妖城在线论坛& I5 F( g* Z( \; w8 V5 G8 J2 Y
妖城在线论坛9 f2 s5 I0 ?2 r8 m
无驱动魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表, m  B$ c; X- s
魔力私服,最新魔力宝贝私服技术交流/ `0 a8 ^6 U1 y# Y( W$ y; y
一个个HOOK来搞吧- -—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート  m$ V! q5 {- M( {. ]6 v
3 A1 ~* h3 d, s& ?* Y8 z/ t/ ?6 ^
第一个HOOK--地址004db520
处理方法bbs.mocwww.com0 E- P+ j% L2 j& c% @
内存地址---004db55d
修改为6A 00 EB D8 02 00 00
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート4 V  x7 T: P: W2 W# i
第二个HOOK--地址004db566
% B/ V5 o, D) {3 {妖城在线论坛处理方法, t5 u% \5 J3 ~7 ~0 ^% w3 M
内存地址---004db696
修改为50 68 01 01 00 00 89 35 98 07 c3 00 E8 ED 26 E9 CB FE FF FF 90 90
90 90 90 90 90 一直到4db68f都是90bbs.mocwww.com. K' G% K  M8 v1 N+ b5 n
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表8 A# \1 |- X9 G/ }7 w+ R0 c- x; G- l
第三个HOOK--地址004e1fe8
处理方法—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート- D8 q- r* }3 \5 M5 r& h
内存地址---00163905魔力私服,最新魔力宝贝私服技术交流  R5 ]+ g  u8 e& _) K- |9 R
修改为---A0 50 53 C3 00 E9 E3 E6 37 00 90 90—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート- s, D5 \& |* i$ ?' X

第四个HOOK--地址004e20a0妖城在线论坛; _/ m1 i& h5 o1 G, {
处理方法bbs.mocwww.com$ m3 T  y! K- `  B
内存地址---001638B8
修改为---A0 08 4F C3 00 E9 E3 E7 37 00 90 90

以上4个HOOK都是和DLL无关连的~其实可以直接恢复HOOK,按照以上操作可以在不恢复HOOK的情况下让函数还原魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表  g; H$ }# o) k) J: V% t5 ^
" ~1 \% k) [. H* ~
第五个HOOK--地址00433180
% n' N3 B( v$ i1 G处理方法bbs.mocwww.com; K6 I2 y" F8 [( V" _& e; O
内存地址---10006cc37 N) W8 L, A( r( J2 Y" y
修改为---90 90 90 90 90
妖城在线论坛8 e0 W  [# k. k9 n# r, M
这个HOOK代码里面有个CALL会跳到DLL另一地址,如果不修改直接恢复,HOOK也会存在,但游戏不会崩,后验证其实此HOOK是图档相关的修复,可不理会

第六个HOOK--WSOCK32中RECV--地址71a42e70妖城在线论坛* Q/ o. ^* j$ k9 \; V9 K/ x8 X
第七个HOOK--WS2_32中的RECV--地址71A2676F

WSOCK32.recv - E9 12C45C9E          - jmp cgx_e7ml.dll+F287魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表% a8 ~" q9 T6 ?0 i7 z
WSOCK32.recv+5- 51                   - push ecx—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート( d( w" N# @$ _7 o2 h
WSOCK32.recv+6- 51                   - push ecx
1 q8 ?/ u! c+ D: v* K. H4 m
RECV函数头被修改前5字节,改为了JMP命令9 V' g- u9 Y" `8 C/ O2 h
bbs.mocwww.com6 g% I9 J7 o1 D; `6 F* F. Z
这里我们不能动这5字节,因为有矫正,只要改了或者恢复了,会掉线的—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート# M; b' H2 k/ g+ j4 t; B

那我们只能修改他跳转地址中的代码了—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート& J: `' X* D' n+ Q. A' Z; f2 B
妖城在线论坛( p4 Z8 l7 {. ^% ~5 @; n
以上两个HOOK都被指向同一个地址1000f287
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表& n! X/ `/ Q- ]& J. P* k& U/ M
cgx_e7ml.dll+F287 - 56                   - push esi
cgx_e7ml.dll+F288 - 57                   - push edi
cgx_e7ml.dll+F289 - 53                   - push ebx
cgx_e7ml.dll+F28A - 8D 74 24 10          - lea esi,[esp+10]
cgx_e7ml.dll+F28E - 83 EC 10             - sub esp,10
cgx_e7ml.dll+F291 - 8B FC                - mov edi,esp$ B6 c0 M/ Z+ C0 J
cgx_e7ml.dll+F293 - FC                   - cld 妖城在线论坛+ Y, p" v9 v1 u" U/ d: C/ u5 @* p; h1 {
cgx_e7ml.dll+F294 - B9 04000000          - mov ecx,00000004
cgx_e7ml.dll+F299 - F3 A5                - repe movsd
cgx_e7ml.dll+F29B - E8 F2FDFFFF          - call cgx_e7ml.dll+F092. z, [- }# K% ]6 `- I; |1 y4 B
cgx_e7ml.dll+F2A0 - 5B                   - pop ebx
cgx_e7ml.dll+F2A1 - 5F                   - pop edi
cgx_e7ml.dll+F2A2 - 5E                   - pop esi魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表' S: s& ^5 G# S7 x9 D4 s' _' n
cgx_e7ml.dll+F2A3 - C2 1000             - ret 0010魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表' ?9 s8 ^4 x) d

RET 10--函数调用有4参数~具体代码我就不解释了,我告诉你怎么改妖城在线论坛# w& r* C/ I" l+ `$ @5 e: c

RECV原函数头汇编码如下
MOV EDI,EDI
PUSH EBP
MOV EBP,ESP
妖城在线论坛# X# O2 _4 _! y
这就是被修改的5字节原汇编码妖城在线论坛. G' X  R' ^- s

下面添加JMP命令调回去原函数—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート1 b& n$ C( @, c
jmp 71a42e75
把原函数头以及JMP命令写入513135内存中魔力私服,最新魔力宝贝私服技术交流5 {9 N, Y1 k: @+ p( \1 `
魔力私服,最新魔力宝贝私服技术交流! T$ d) l: k/ f3 u0 i0 l
这个地址的具体16进制代码忘记记录下来了- -你们你自己转换了bbs.mocwww.com' U" ~; u/ M1 W, g" ^$ p6 ?3 k
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート5 `  p9 [+ x8 |- o% I0 [
修改的代码从1000f287开始妖城在线论坛* [' w+ t0 h1 T; v" u! c: t, S

修改为8B FF 55 8B EC E9 E4 38 A3 616 r3 V/ `3 X& P) J+ o. _
然后从1000fc91-fca6全部都是90—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート6 X, z4 a, b- W% f

这样修改后,反挂在接受封包RECV函数中所做的所有判定全部无效了bbs.mocwww.com$ A" P: f9 \9 D5 I7 I
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表# a: x. F: X8 }2 ~4 H8 s
第八个HOOK--DbgUiRemoteBreakin--OD调试所需函数--7C97211Cbbs.mocwww.com! N3 R  b/ s% }
同RECV,有矫正,不可恢复8 w* F4 z  F2 T+ A: u. X9 T

内存地址---10006CA8魔力私服,最新魔力宝贝私服技术交流. ]7 v. O2 }( O3 ^+ d$ A7 J
修改方法:(由于此HOOK纯属破坏函数,所以修复的字节会比较多)
E9 85 C4 50 F0魔力私服,最新魔力宝贝私服技术交流) d  Z# w! K7 n9 e/ T8 e3 O  |. j! L
内存地址---513135bbs.mocwww.com, G5 I" p* ?* C/ d: ~
6A 08 68 68 21 97 7C E8 A3 C7 FB FF 64 A1 18 00 00 00 E9 E2 EF 45 7C
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表0 }# r0 K) \) t
这里申明一下,为啥这里修改不像前面一样在DLL内存空间里面修改,DLL内存空间的汇编码如下
push esi妖城在线论坛, r! _( M: \6 _% i
push edi魔力私服,最新魔力宝贝私服技术交流" v0 r7 a9 |* C) p: Q% d5 O
push ebx
CALL 地址忘记了- -妖城在线论坛9 m# V( j3 y% }
pop ebx妖城在线论坛8 C2 B; K! D  \0 Y1 c4 I$ ~/ q7 I
pop edi魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表. ?$ {0 ?' u% l. M4 r) A( w# G
pop esi
ret 0010bbs.mocwww.com- h  Y6 y" `- M' S
bbs.mocwww.com/ G* U! }( _; y( x6 ^% O
push是压入数据于指定寄存器,而POP则是清除寄存器数据,两者对应的就是为了CALL完函数后所做的堆栈平衡,如果在这里直接修改,堆栈不平衡直接导致游戏崩溃
妖城在线论坛3 O4 v: E! Q, ?$ ^# B
而CALL命令所需字节是5字节,刚好可以写个JMP,所以修改方法就有点复杂了) s# G/ Q& G6 D

至此函数已全部修复,但HOOK绝对没有动,矫正不出来,OD可以正常加载CG了

第九个HOOK--LoadLibraryExW--加载外部DLL所需函数--7C801AF5
* ?$ l9 ?# N# n6 D% ibbs.mocwww.com同RECV,有矫正,不可恢复魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表8 G" V7 V  M: Q. x! X! P7 K0 T1 x
内存地址---10006C7D---居然破坏了8条函数头指令- -蛋疼
6A 34 68 F8 E0 80 7C E8 D5 09 00 00 33 FF 89 7D D8 89 7D D4 89 7D E0 89
7D E4 8B 5D 10 E9 73 AE 7F 6C 90 90 90 90 90 90 90 90 90妖城在线论坛% _& K" j& V$ g3 [3 Z& i
至此函数已全部修复,但HOOK绝对没有动,矫正不出来,外部DLL可正常加载,且本身
验证函数调用信息的判断已被破坏3 ]* Z) r+ |: X( x
bbs.mocwww.com0 A' |7 X3 F8 `- b
第十个HOOK--SEND--发送数据的函数(封包二次加密也在这里面了)--71A24C27妖城在线论坛! {3 u% q$ N1 f6 c  V
不可恢复,由于有二次加密,如恢复则直接断线—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート4 y; D4 j& i: |
看看跳转处汇编码~~—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート' E: H. F2 Q* v' ~
cgx_e7ml.dll+EE94 - 56                   - push esibbs.mocwww.com! y, A% b% X' k, Y
cgx_e7ml.dll+EE95 - 57                   - push edi妖城在线论坛( D& _, o, u6 v9 J1 O3 L! l( `
cgx_e7ml.dll+EE96 - 53                   - push ebxbbs.mocwww.com* d3 y/ \6 c3 a" }$ o/ l" J
cgx_e7ml.dll+EE97 - 8D 74 24 10          - lea esi,[esp+10]
cgx_e7ml.dll+EE9B - 83 EC 10             - sub esp,10—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート' ~& @% u( {2 c% b7 F
cgx_e7ml.dll+EE9E - 8B FC                - mov edi,esp妖城在线论坛$ i. y3 b2 ]  C  ]! u7 W
cgx_e7ml.dll+EEA0 - FC                   - cld
cgx_e7ml.dll+EEA1 - B9 04000000          - mov ecx,00000004妖城在线论坛' s6 H9 {% B2 s0 M* G$ ^3 ~
cgx_e7ml.dll+EEA6 - F3 A5                - repe movsd 妖城在线论坛) e, v/ Y8 @+ v0 o' x+ g
cgx_e7ml.dll+EEA8 - E8 69F7FFFF          - call cgx_e7ml.dll+E616
cgx_e7ml.dll+EEAD - 5B                   - pop ebx
cgx_e7ml.dll+EEAE - 5F                   - pop edi妖城在线论坛2 S. F) l# |6 P, |
cgx_e7ml.dll+EEAF - 5E                   - pop esi
cgx_e7ml.dll+EEB0 - C2 1000             - ret 0010—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート# j( r0 j% k  a  ]3 \2 R1 G
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート8 R- F) J! U: ^% u' a" ]) s# D8 w- Z
RET 10~~还是4参数~符合SEND函数的参数定义+ d; g$ T' x: h9 s6 m: f

参数一:套接字魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表! O4 g: D- m+ d1 v0 H/ L' s
参数二:封包内容指针
参数三:封包长度bbs.mocwww.com; z. }2 ?3 O$ E7 o2 m
参数四:FLAG=0bbs.mocwww.com, u7 g0 N. j; l( {
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表# N9 u# {1 C) D  @+ N; M- X
理论上PUSH这四个参数,然后CALL加密函数地址1000E616就可以调用他的加密函数魔力私服,最新魔力宝贝私服技术交流' X3 s% o$ |6 A0 z* S( E- g
来发包了- -未看具体加密细节~也未测试这个CALL有效性
/ B- h( |5 g- m5 L3 l8 @- w% ~) y3 E
一晚上写这玩意好累~最后的SEND分析就迟点再出吧- -

并非秀技能~正如某人所言~这个可能也是没有技术含量~小白慢慢学~我承认我是小白哈~

魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表 k2 z; J# { v9 k1 b
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表/ `; w5 q( z. a! D' B- c( g
[ 本帖最后由 HOHO 于 2013-12-11 00:46 编辑 ]

本帖最近评分记录