打印

[讨论] CG-X-SEVER反挂分析(带破解--全汇编)

HOHO

妖使

Rank: 3 Rank: 3 Rank: 3

UID: 3805
精华: 2
积分: 1073
威望: 0 度

阁楼大中小发表于 2013-12-11 00:41 只看该作者

CG-X-SEVER反挂分析(带破解--全汇编)

使用软件XueTr和CE6.4驱动版
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表+ [1 f1 w; B5 ~9 M
启动游戏后一共有十个HOOK~—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート% W9 v9 m+ W  j/ ^3 W
bbs.mocwww.com; _; a( K( Q$ R8 S9 A
无驱动

一个个HOOK来搞吧- -魔力私服,最新魔力宝贝私服技术交流9 X- b1 ~3 d3 q

第一个HOOK--地址004db520
处理方法魔力私服,最新魔力宝贝私服技术交流- @5 W! V& C6 a# ?$ y
内存地址---004db55d妖城在线论坛' ~' s7 C, B" B) g  g6 E
修改为6A 00 EB D8 02 00 00

第二个HOOK--地址004db566
0 _, D4 R' f! |5 ^  pbbs.mocwww.com处理方法妖城在线论坛: X% F. H4 Q* D. E
内存地址---004db696
修改为50 68 01 01 00 00 89 35 98 07 c3 00 E8 ED 26 E9 CB FE FF FF 90 90 bbs.mocwww.com+ p3 o& ~' \+ `7 A% w: Q6 v! F+ E
90 90 90 90 90 一直到4db68f都是90bbs.mocwww.com  p9 u9 G* K9 b: x# X! @
魔力私服,最新魔力宝贝私服技术交流+ C/ r6 ]  S1 A$ K4 S& Q
第三个HOOK--地址004e1fe8bbs.mocwww.com0 r9 p/ w) m/ D5 c* A; J, Y
处理方法bbs.mocwww.com, }6 L6 H) ]( Y7 D$ e# b6 w( ~
内存地址---00163905
修改为---A0 50 53 C3 00 E9 E3 E6 37 00 90 90bbs.mocwww.com3 `% N7 J1 J0 k) x
* s) m% Q0 a& ?7 F0 a) q- j
第四个HOOK--地址004e20a0魔力私服,最新魔力宝贝私服技术交流8 p. i" P1 |8 w% x
处理方法妖城在线论坛  p: G1 q3 T+ V- C2 \# k$ r
内存地址---001638B8bbs.mocwww.com8 D) {( b+ k& V( r
修改为---A0 08 4F C3 00 E9 E3 E7 37 00 90 90
妖城在线论坛: h" a9 V- n7 P
以上4个HOOK都是和DLL无关连的~其实可以直接恢复HOOK,按照以上操作可以在不恢复HOOK的情况下让函数还原

第五个HOOK--地址00433180
处理方法1 `  b5 `- H" }; Z
内存地址---10006cc3魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表/ h1 a7 O) o: a# N) S  O' t4 k
修改为---90 90 90 90 90+ R% J3 @. q7 S/ o( p
妖城在线论坛4 C5 ^6 [4 K& t8 r7 h6 |$ S  g3 T1 J
这个HOOK代码里面有个CALL会跳到DLL另一地址,如果不修改直接恢复,HOOK也会存在,但游戏不会崩,后验证其实此HOOK是图档相关的修复,可不理会魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表% Y! `& p' ~- T3 @
妖城在线论坛7 E6 t# n+ I/ j4 ?( ]) Y. M
第六个HOOK--WSOCK32中RECV--地址71a42e70魔力私服,最新魔力宝贝私服技术交流, P$ v1 I. R  J# s- K3 ?
第七个HOOK--WS2_32中的RECV--地址71A2676F—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート4 H& j" X: B; Q1 H

WSOCK32.recv - E9 12C45C9E          - jmp cgx_e7ml.dll+F287—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート" i: @# G7 J* x
WSOCK32.recv+5- 51                   - push ecx
WSOCK32.recv+6- 51                   - push ecx
bbs.mocwww.com0 V  u$ m+ _  I) z
RECV函数头被修改前5字节,改为了JMP命令

这里我们不能动这5字节,因为有矫正,只要改了或者恢复了,会掉线的' z! v. a+ }" v; x3 X5 I. @! j5 A6 `

那我们只能修改他跳转地址中的代码了
妖城在线论坛1 F- ~% l: X! ^
以上两个HOOK都被指向同一个地址1000f287—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート# d9 K6 g. v' ]6 t- @( X& f

cgx_e7ml.dll+F287 - 56                   - push esi$ [* w2 G. z. J
cgx_e7ml.dll+F288 - 57                   - push edi
cgx_e7ml.dll+F289 - 53                   - push ebx
cgx_e7ml.dll+F28A - 8D 74 24 10          - lea esi,[esp+10]bbs.mocwww.com0 m* }( ]4 ^/ A& F1 d5 v5 g) A
cgx_e7ml.dll+F28E - 83 EC 10             - sub esp,10) s! V- n8 S4 E4 Z
cgx_e7ml.dll+F291 - 8B FC                - mov edi,esp—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート- \& L/ z% m9 R8 g  u3 c
cgx_e7ml.dll+F293 - FC                   - cld
cgx_e7ml.dll+F294 - B9 04000000          - mov ecx,00000004
cgx_e7ml.dll+F299 - F3 A5                - repe movsd —魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート: n/ r* f8 V$ \* q
cgx_e7ml.dll+F29B - E8 F2FDFFFF          - call cgx_e7ml.dll+F092
cgx_e7ml.dll+F2A0 - 5B                   - pop ebx—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート, j* B* o$ c7 T: T- ]* a
cgx_e7ml.dll+F2A1 - 5F                   - pop edi魔力私服,最新魔力宝贝私服技术交流1 w. \7 K+ {  U# }% D7 v& A' X
cgx_e7ml.dll+F2A2 - 5E                   - pop esi
cgx_e7ml.dll+F2A3 - C2 1000             - ret 0010
妖城在线论坛* [# R" @  F# d3 d$ e
RET 10--函数调用有4参数~具体代码我就不解释了,我告诉你怎么改—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート  B. N  m9 S5 Q8 N" _+ C
魔力私服,最新魔力宝贝私服技术交流& ~+ z: a) G! _4 o0 v( {
RECV原函数头汇编码如下( D# C2 |5 k" g
MOV EDI,EDI魔力私服,最新魔力宝贝私服技术交流4 b2 }7 b" _) {9 W# F7 ~
PUSH EBP
MOV EBP,ESP

这就是被修改的5字节原汇编码—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート% @, \5 h% _# |

下面添加JMP命令调回去原函数
jmp 71a42e75
把原函数头以及JMP命令写入513135内存中

这个地址的具体16进制代码忘记记录下来了- -你们你自己转换了

修改的代码从1000f287开始, \# Q# ]% x+ }. \5 I
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート/ |( e7 A  p- u+ x
修改为8B FF 55 8B EC E9 E4 38 A3 61
然后从1000fc91-fca6全部都是90

这样修改后,反挂在接受封包RECV函数中所做的所有判定全部无效了
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート8 P! d4 P  y1 T- E5 ]8 \: l( p
第八个HOOK--DbgUiRemoteBreakin--OD调试所需函数--7C97211C
同RECV,有矫正,不可恢复
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表3 X( m# \1 M9 c" y; T
内存地址---10006CA8魔力私服,最新魔力宝贝私服技术交流5 _7 D* C% G+ Q% D3 g! }
修改方法:(由于此HOOK纯属破坏函数,所以修复的字节会比较多)bbs.mocwww.com+ x5 Z$ \& {1 ^5 d6 o
E9 85 C4 50 F0
内存地址---513135
6A 08 68 68 21 97 7C E8 A3 C7 FB FF 64 A1 18 00 00 00 E9 E2 EF 45 7C
魔力私服,最新魔力宝贝私服技术交流, l3 u' o- }* X+ P; `  N! ?2 s
这里申明一下,为啥这里修改不像前面一样在DLL内存空间里面修改,DLL内存空间的汇编码如下—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート$ z* Q) d* Z( C0 t$ L# l
push esi
push edi
push ebx妖城在线论坛( F# q: v; g$ @1 c  p" q8 Z+ S
CALL 地址忘记了- -
pop ebx
pop edi5 [$ X0 a5 n% {5 y) c% {' Q" R9 S
pop esi魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表  `. ]+ \* J" a/ z( d, N, b
ret 0010bbs.mocwww.com) |& w. H: t- O) H0 V9 ?" x
bbs.mocwww.com9 O( C# V8 h- ~8 K. \; q
push是压入数据于指定寄存器,而POP则是清除寄存器数据,两者对应的就是为了CALL完函数后所做的堆栈平衡,如果在这里直接修改,堆栈不平衡直接导致游戏崩溃

而CALL命令所需字节是5字节,刚好可以写个JMP,所以修改方法就有点复杂了魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表: V4 K! F) ^* D/ Q( o
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表- }. T$ a3 _- y0 S& i" t4 M
至此函数已全部修复,但HOOK绝对没有动,矫正不出来,OD可以正常加载CG了

第九个HOOK--LoadLibraryExW--加载外部DLL所需函数--7C801AF5bbs.mocwww.com7 Z$ v) r6 E! [% H
同RECV,有矫正,不可恢复—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート! S- O7 [$ e) o+ m/ B
内存地址---10006C7D---居然破坏了8条函数头指令- -蛋疼魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表; W. R0 ~! A7 W( z3 \% R, ?2 }: M8 z
6A 34 68 F8 E0 80 7C E8 D5 09 00 00 33 FF 89 7D D8 89 7D D4 89 7D E0 89 —魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート& o% s$ \% i  z4 c3 L- u5 l
7D E4 8B 5D 10 E9 73 AE 7F 6C 90 90 90 90 90 90 90 90 90—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート. {4 V6 j1 k& f( ?- I" Q: t
至此函数已全部修复,但HOOK绝对没有动,矫正不出来,外部DLL可正常加载,且本身
验证函数调用信息的判断已被破坏
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート. n6 ?. t  H# \& q1 F
第十个HOOK--SEND--发送数据的函数(封包二次加密也在这里面了)--71A24C27
不可恢复,由于有二次加密,如恢复则直接断线
看看跳转处汇编码~~
cgx_e7ml.dll+EE94 - 56                   - push esi魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表. [$ w( J$ k2 e1 s2 g
cgx_e7ml.dll+EE95 - 57                   - push edibbs.mocwww.com5 N4 W, A% ]& K: }
cgx_e7ml.dll+EE96 - 53                   - push ebx
cgx_e7ml.dll+EE97 - 8D 74 24 10          - lea esi,[esp+10]魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表& N, F4 t: n7 m: I8 m5 W+ U
cgx_e7ml.dll+EE9B - 83 EC 10             - sub esp,10
cgx_e7ml.dll+EE9E - 8B FC                - mov edi,espbbs.mocwww.com) ^! A2 N5 l$ w/ x8 S
cgx_e7ml.dll+EEA0 - FC                   - cld bbs.mocwww.com5 a) @3 M$ e' ^* _
cgx_e7ml.dll+EEA1 - B9 04000000          - mov ecx,00000004
cgx_e7ml.dll+EEA6 - F3 A5                - repe movsd
cgx_e7ml.dll+EEA8 - E8 69F7FFFF          - call cgx_e7ml.dll+E616魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表1 `& p& h3 P  |* G3 k6 R3 R
cgx_e7ml.dll+EEAD - 5B                   - pop ebx
cgx_e7ml.dll+EEAE - 5F                   - pop edibbs.mocwww.com) i: \7 G9 U. R) h3 m- L9 m
cgx_e7ml.dll+EEAF - 5E                   - pop esi
cgx_e7ml.dll+EEB0 - C2 1000             - ret 0010
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート( f& V8 }# ^6 Q- b
RET 10~~还是4参数~符合SEND函数的参数定义  T5 J, `0 b' v6 b, B9 k) b0 d

参数一:套接字
参数二:封包内容指针8 P: D- a4 A) g2 ], d0 }4 K
参数三:封包长度—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート( L( y) O6 e* D8 n( B# X* O8 V
参数四:FLAG=0

理论上PUSH这四个参数,然后CALL加密函数地址1000E616就可以调用他的加密函数—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート7 k0 U( c* C7 H0 j$ z) X
来发包了- -未看具体加密细节~也未测试这个CALL有效性bbs.mocwww.com+ ]1 P: P5 t/ c0 `+ i" i! J
bbs.mocwww.com* K8 s& l2 N9 t& q6 p/ m
一晚上写这玩意好累~最后的SEND分析就迟点再出吧- -魔力私服,最新魔力宝贝私服技术交流2 f% J1 ?6 g% A; K& N4 y

并非秀技能~正如某人所言~这个可能也是没有技术含量~小白慢慢学~我承认我是小白哈~