打印

[讨论] CG-X-SEVER反挂分析(带破解--全汇编)

HOHO

妖使

Rank: 3 Rank: 3 Rank: 3

UID: 3805
精华: 2
积分: 1073
威望: 0 度

阁楼大中小发表于 2013-12-11 00:41 只看该作者

CG-X-SEVER反挂分析(带破解--全汇编)

使用软件XueTr和CE6.4驱动版妖城在线论坛3 O$ P7 [6 x( B

启动游戏后一共有十个HOOK~魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表/ a, {- _& ?" U3 N8 g4 q7 r
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表- O# {$ y( m5 T. g9 n
无驱动
魔力私服,最新魔力宝贝私服技术交流, f/ ?/ P8 b% ?5 a
一个个HOOK来搞吧- -2 K  D4 P' Y' G' N! y+ }

第一个HOOK--地址004db520- B8 ]* b5 |% i4 X2 U; S4 K4 A
处理方法
内存地址---004db55dbbs.mocwww.com$ e; t7 U9 C2 Z+ ?: H
修改为6A 00 EB D8 02 00 00

第二个HOOK--地址004db566—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート7 l' _$ t1 k: U  J" q9 l6 X' X
处理方法魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表9 ~! e/ `( f9 `# g" y2 k  |$ p
内存地址---004db696魔力私服,最新魔力宝贝私服技术交流& y' C6 a' ]0 I
修改为50 68 01 01 00 00 89 35 98 07 c3 00 E8 ED 26 E9 CB FE FF FF 90 90 —魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート& P, j6 {0 N9 n4 T3 X/ S
90 90 90 90 90 一直到4db68f都是90魔力私服,最新魔力宝贝私服技术交流+ W; W; l; V3 J( l4 L5 |
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表' V7 h( f5 f/ V3 q1 u. e
第三个HOOK--地址004e1fe8
处理方法魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表0 Z' a  q$ @' S) X# d
内存地址---00163905魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表" ~+ J1 f$ t' g
修改为---A0 50 53 C3 00 E9 E3 E6 37 00 90 90bbs.mocwww.com  M$ L6 r7 J' `" m1 p

第四个HOOK--地址004e20a0魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表- ]3 Z! D! q4 q$ o
处理方法妖城在线论坛4 |, G$ e* K4 u" b0 E7 ~( \
内存地址---001638B8
修改为---A0 08 4F C3 00 E9 E3 E7 37 00 90 90# ^/ i3 H. Q$ e  _8 r1 k, A
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート) W6 C; G4 _, f! C# X6 e' y
以上4个HOOK都是和DLL无关连的~其实可以直接恢复HOOK,按照以上操作可以在不恢复HOOK的情况下让函数还原—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート- q8 e4 q5 e0 i3 m  _

第五个HOOK--地址00433180魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表7 a# n$ [. v- C
处理方法—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート; n" a" N, ]2 b. X) f
内存地址---10006cc3
修改为---90 90 90 90 90
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート3 X8 L0 |- t. _/ U4 }' k& L
这个HOOK代码里面有个CALL会跳到DLL另一地址,如果不修改直接恢复,HOOK也会存在,但游戏不会崩,后验证其实此HOOK是图档相关的修复,可不理会
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート" ?% ?/ V2 Z, n8 ?. G
第六个HOOK--WSOCK32中RECV--地址71a42e70
第七个HOOK--WS2_32中的RECV--地址71A2676F

WSOCK32.recv - E9 12C45C9E          - jmp cgx_e7ml.dll+F287—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート2 v8 R- Y! s$ l! {9 `
WSOCK32.recv+5- 51                   - push ecx—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート6 n/ [7 Z1 P  h% S7 Z
WSOCK32.recv+6- 51                   - push ecx魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表" e7 v- X" L* ^4 [
bbs.mocwww.com7 O8 d5 t1 m$ g: c
RECV函数头被修改前5字节,改为了JMP命令魔力私服,最新魔力宝贝私服技术交流9 Z  H/ C2 o& g' H# x
妖城在线论坛6 r; x  L4 J1 ]8 L  f7 \
这里我们不能动这5字节,因为有矫正,只要改了或者恢复了,会掉线的
妖城在线论坛8 T6 ?7 `* w' J  W( U' n
那我们只能修改他跳转地址中的代码了. z( d( [# f& V9 l+ o' o
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表' G3 C( X: x8 ]% n# ^
以上两个HOOK都被指向同一个地址1000f287
魔力私服,最新魔力宝贝私服技术交流; R; c& a7 w, a: Y( v, k
cgx_e7ml.dll+F287 - 56                   - push esi
cgx_e7ml.dll+F288 - 57                   - push edi—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート# j8 ~9 f/ s0 F& O  q$ y% d
cgx_e7ml.dll+F289 - 53                   - push ebx
cgx_e7ml.dll+F28A - 8D 74 24 10          - lea esi,[esp+10]4 N: n3 Y* Y: Y  p9 g3 a
cgx_e7ml.dll+F28E - 83 EC 10             - sub esp,104 {9 u  [7 p. e2 o' }  @; f2 |$ _+ z! N
cgx_e7ml.dll+F291 - 8B FC                - mov edi,esp
cgx_e7ml.dll+F293 - FC                   - cld bbs.mocwww.com# T3 Q0 Q  H7 H, J
cgx_e7ml.dll+F294 - B9 04000000          - mov ecx,00000004
cgx_e7ml.dll+F299 - F3 A5                - repe movsd
cgx_e7ml.dll+F29B - E8 F2FDFFFF          - call cgx_e7ml.dll+F092
cgx_e7ml.dll+F2A0 - 5B                   - pop ebx
cgx_e7ml.dll+F2A1 - 5F                   - pop edi
cgx_e7ml.dll+F2A2 - 5E                   - pop esi
cgx_e7ml.dll+F2A3 - C2 1000             - ret 0010

RET 10--函数调用有4参数~具体代码我就不解释了,我告诉你怎么改

RECV原函数头汇编码如下妖城在线论坛" E: `+ L$ E" q
MOV EDI,EDI
PUSH EBP+ y2 l- O( w9 @( Y5 d
MOV EBP,ESP

这就是被修改的5字节原汇编码

下面添加JMP命令调回去原函数—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート& }# P/ W/ W/ I( L4 e6 B( j, Z
jmp 71a42e75
把原函数头以及JMP命令写入513135内存中bbs.mocwww.com  n6 b, _( U+ L; v8 i# x

这个地址的具体16进制代码忘记记录下来了- -你们你自己转换了bbs.mocwww.com  \9 p9 J" I# D& u9 x
魔力私服,最新魔力宝贝私服技术交流+ e/ i9 }+ z1 Q4 ?- s$ E* y7 k
修改的代码从1000f287开始魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表% f; ]& j9 D- D& s# O, J
魔力私服,最新魔力宝贝私服技术交流& b, i1 j) S6 K- `
修改为8B FF 55 8B EC E9 E4 38 A3 61魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表9 y) K' ^9 v9 N2 Z- j
然后从1000fc91-fca6全部都是90
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表. C  I" R8 W" W& y9 z0 h
这样修改后,反挂在接受封包RECV函数中所做的所有判定全部无效了
bbs.mocwww.com/ }" ^4 @5 X" V, u' P
第八个HOOK--DbgUiRemoteBreakin--OD调试所需函数--7C97211C
9 o: l% x- ]3 m( X3 o& K同RECV,有矫正,不可恢复

内存地址---10006CA8
修改方法:(由于此HOOK纯属破坏函数,所以修复的字节会比较多)
E9 85 C4 50 F0—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート" ]+ j2 j, F( M# h: ^8 Q1 V
内存地址---513135魔力私服,最新魔力宝贝私服技术交流# h. V! f& O) Y4 U/ \$ N$ w8 C8 q( y
6A 08 68 68 21 97 7C E8 A3 C7 FB FF 64 A1 18 00 00 00 E9 E2 EF 45 7C
魔力私服,最新魔力宝贝私服技术交流! H7 J, b$ d7 q. v/ }; k1 O4 U
这里申明一下,为啥这里修改不像前面一样在DLL内存空间里面修改,DLL内存空间的汇编码如下/ g! `& a, M8 o' k0 g- |
push esi—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート5 |6 g; {* X, \9 F# m
push edi) z5 s6 ]( K' H1 a, O, p
push ebx: M4 ]% R/ a3 f/ i) A
CALL 地址忘记了- -
pop ebx魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表# ?+ e: ?- L6 f. b9 k) q
pop edi—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート. L' S, x5 X: r3 B+ l
pop esi魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表7 F6 {. F' w. i' A
ret 0010
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表* }* D! c7 t" u
push是压入数据于指定寄存器,而POP则是清除寄存器数据,两者对应的就是为了CALL完函数后所做的堆栈平衡,如果在这里直接修改,堆栈不平衡直接导致游戏崩溃
魔力私服,最新魔力宝贝私服技术交流' _% I& G+ V$ X+ S
而CALL命令所需字节是5字节,刚好可以写个JMP,所以修改方法就有点复杂了
妖城在线论坛. k' f: `  s& E9 l
至此函数已全部修复,但HOOK绝对没有动,矫正不出来,OD可以正常加载CG了魔力私服,最新魔力宝贝私服技术交流, y" W* J# Z- A3 K
魔力私服,最新魔力宝贝私服技术交流! ?+ }/ a- _, V5 M; `
第九个HOOK--LoadLibraryExW--加载外部DLL所需函数--7C801AF5" _3 O- w; G/ c* i; A
同RECV,有矫正,不可恢复妖城在线论坛$ S" Z+ S  K5 T
内存地址---10006C7D---居然破坏了8条函数头指令- -蛋疼bbs.mocwww.com# ]: n& p- t9 j: j+ g, b. \
6A 34 68 F8 E0 80 7C E8 D5 09 00 00 33 FF 89 7D D8 89 7D D4 89 7D E0 89
7D E4 8B 5D 10 E9 73 AE 7F 6C 90 90 90 90 90 90 90 90 90妖城在线论坛6 S" Q7 U7 a/ c1 e% D  _
至此函数已全部修复,但HOOK绝对没有动,矫正不出来,外部DLL可正常加载,且本身- Z  i' `0 U$ q4 U! B
验证函数调用信息的判断已被破坏妖城在线论坛+ D9 ^0 c" a/ t6 I! z* T
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表- g% i  i8 \! Q/ ^  d4 s
第十个HOOK--SEND--发送数据的函数(封包二次加密也在这里面了)--71A24C27
2 G3 ]; R) y8 P' q不可恢复,由于有二次加密,如恢复则直接断线1 E; I  W* _/ D6 ]$ P' u
看看跳转处汇编码~~—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート5 b+ i1 s9 h2 w+ v3 d# g
cgx_e7ml.dll+EE94 - 56                   - push esi
cgx_e7ml.dll+EE95 - 57                   - push edi—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート6 s! y" U- |8 ~/ [
cgx_e7ml.dll+EE96 - 53                   - push ebx
cgx_e7ml.dll+EE97 - 8D 74 24 10          - lea esi,[esp+10]
cgx_e7ml.dll+EE9B - 83 EC 10             - sub esp,10魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表7 X, ~% ^1 J. a8 O; a6 c, x+ L
cgx_e7ml.dll+EE9E - 8B FC                - mov edi,esp
cgx_e7ml.dll+EEA0 - FC                   - cld
cgx_e7ml.dll+EEA1 - B9 04000000          - mov ecx,00000004
cgx_e7ml.dll+EEA6 - F3 A5                - repe movsd —魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート$ u; [/ ?, O  h1 b9 B: d* r
cgx_e7ml.dll+EEA8 - E8 69F7FFFF          - call cgx_e7ml.dll+E616魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表3 n6 F8 }' b3 F9 l6 q, x% F
cgx_e7ml.dll+EEAD - 5B                   - pop ebx魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表+ J/ u" T  {# s% ^5 u) B  W5 c
cgx_e7ml.dll+EEAE - 5F                   - pop edi
cgx_e7ml.dll+EEAF - 5E                   - pop esi1 B7 X& j0 z) u
cgx_e7ml.dll+EEB0 - C2 1000             - ret 0010

RET 10~~还是4参数~符合SEND函数的参数定义; N" l0 S; \& L

参数一:套接字
参数二:封包内容指针—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート) R5 d% u! ~) I0 }6 L- M
参数三:封包长度2 S# P! `+ e  {) |5 O
参数四:FLAG=0

理论上PUSH这四个参数,然后CALL加密函数地址1000E616就可以调用他的加密函数bbs.mocwww.com3 U' u1 ~1 X! K* a+ y
来发包了- -未看具体加密细节~也未测试这个CALL有效性魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表( l" R! {, R6 k9 D
0 z2 F, k: m4 N) e
一晚上写这玩意好累~最后的SEND分析就迟点再出吧- -

并非秀技能~正如某人所言~这个可能也是没有技术含量~小白慢慢学~我承认我是小白哈~