打印

[讨论] CG-X-SEVER反挂分析(带破解--全汇编)

HOHO

妖使

Rank: 3 Rank: 3 Rank: 3

UID: 3805
精华: 2
积分: 1073
威望: 0 度

阁楼大中小发表于 2013-12-11 00:41 只看该作者

CG-X-SEVER反挂分析(带破解--全汇编)

使用软件XueTr和CE6.4驱动版3 D( c+ @" G& q( [2 K

启动游戏后一共有十个HOOK~

无驱动( ~4 u' M) g' }+ c$ W0 R
4 g- A2 n0 H5 Y2 g
一个个HOOK来搞吧- -
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート, v! y0 `; X' @8 v$ ?1 {. o( a2 V
第一个HOOK--地址004db520
3 |5 B$ v1 {0 @bbs.mocwww.com处理方法
内存地址---004db55d
修改为6A 00 EB D8 02 00 00—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート: ]. f) F3 _. c4 w6 C9 I
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表1 ]5 M4 ]. m3 n
第二个HOOK--地址004db566
; i. n  w! d3 G2 z% j3 K处理方法bbs.mocwww.com# V4 W7 ~; m* t6 t. T$ b
内存地址---004db696
修改为50 68 01 01 00 00 89 35 98 07 c3 00 E8 ED 26 E9 CB FE FF FF 90 90 , m- R' I" i* Z( y% X
90 90 90 90 90 一直到4db68f都是90
魔力私服,最新魔力宝贝私服技术交流/ c, r( r& _" q+ R$ I- z+ g8 O
第三个HOOK--地址004e1fe8
处理方法
内存地址---00163905
修改为---A0 50 53 C3 00 E9 E3 E6 37 00 90 90—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート" v; a+ @, D0 ]* X3 D' x1 V

第四个HOOK--地址004e20a0魔力私服,最新魔力宝贝私服技术交流; y* R: S" ~# K& S: J- }! v8 [* x
处理方法6 Y/ C+ F# z+ G
内存地址---001638B8
修改为---A0 08 4F C3 00 E9 E3 E7 37 00 90 90
9 |. @# u  N% F4 a+ z2 s
以上4个HOOK都是和DLL无关连的~其实可以直接恢复HOOK,按照以上操作可以在不恢复HOOK的情况下让函数还原妖城在线论坛! e; i& o; ]6 u9 x6 X) x. R- N6 g

第五个HOOK--地址004331807 s" Y, N6 [+ T) L2 u2 m
处理方法妖城在线论坛% y  t! C) r5 x8 N
内存地址---10006cc3魔力私服,最新魔力宝贝私服技术交流7 m9 Y& i: x6 Y# r
修改为---90 90 90 90 90—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート- A8 H& c6 [) |+ D; w5 `
! e5 i- p7 B, \& c8 H
这个HOOK代码里面有个CALL会跳到DLL另一地址,如果不修改直接恢复,HOOK也会存在,但游戏不会崩,后验证其实此HOOK是图档相关的修复,可不理会

第六个HOOK--WSOCK32中RECV--地址71a42e70魔力私服,最新魔力宝贝私服技术交流, c5 J$ Q, B1 a
第七个HOOK--WS2_32中的RECV--地址71A2676F妖城在线论坛6 ]# e% B- |# e5 ~0 r
魔力私服,最新魔力宝贝私服技术交流# S$ x9 C) i/ \' N6 i
WSOCK32.recv - E9 12C45C9E          - jmp cgx_e7ml.dll+F287
WSOCK32.recv+5- 51                   - push ecx
WSOCK32.recv+6- 51                   - push ecx7 k$ Y' o* \. b0 @& e

RECV函数头被修改前5字节,改为了JMP命令魔力私服,最新魔力宝贝私服技术交流  \3 {7 T, R+ {' ?! y0 S

这里我们不能动这5字节,因为有矫正,只要改了或者恢复了,会掉线的
魔力私服,最新魔力宝贝私服技术交流; N$ t$ _3 ?* X; V
那我们只能修改他跳转地址中的代码了
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表" |& \: L5 |" |* T' K$ x; E
以上两个HOOK都被指向同一个地址1000f287
妖城在线论坛" Y% A: ~" M2 X& Q5 @
cgx_e7ml.dll+F287 - 56                   - push esi魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表' ?3 k* X* I* [, w
cgx_e7ml.dll+F288 - 57                   - push edi魔力私服,最新魔力宝贝私服技术交流5 F: l4 F, ?& w
cgx_e7ml.dll+F289 - 53                   - push ebxbbs.mocwww.com3 ~. s: [. x4 ]4 r
cgx_e7ml.dll+F28A - 8D 74 24 10          - lea esi,[esp+10]魔力私服,最新魔力宝贝私服技术交流% e* K8 O4 p2 ]' R' H4 N8 C3 J8 i- I  @
cgx_e7ml.dll+F28E - 83 EC 10             - sub esp,10魔力私服,最新魔力宝贝私服技术交流6 a1 b( q; x2 Z
cgx_e7ml.dll+F291 - 8B FC                - mov edi,esp魔力私服,最新魔力宝贝私服技术交流/ ]3 v5 ^6 n9 ^8 Q) I6 Q# B
cgx_e7ml.dll+F293 - FC                   - cld
cgx_e7ml.dll+F294 - B9 04000000          - mov ecx,00000004bbs.mocwww.com+ o+ `6 K! M( ]
cgx_e7ml.dll+F299 - F3 A5                - repe movsd 魔力私服,最新魔力宝贝私服技术交流7 X7 M- M) B4 D
cgx_e7ml.dll+F29B - E8 F2FDFFFF          - call cgx_e7ml.dll+F092
cgx_e7ml.dll+F2A0 - 5B                   - pop ebx
cgx_e7ml.dll+F2A1 - 5F                   - pop edi
cgx_e7ml.dll+F2A2 - 5E                   - pop esi魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表0 y, }! x# O6 U- h# I: x
cgx_e7ml.dll+F2A3 - C2 1000             - ret 0010—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート. |- Y9 [6 [% U5 I4 Y
魔力私服,最新魔力宝贝私服技术交流. G& u8 ~+ }; r3 ^
RET 10--函数调用有4参数~具体代码我就不解释了,我告诉你怎么改

RECV原函数头汇编码如下
MOV EDI,EDI
PUSH EBP妖城在线论坛6 U1 ]9 n0 h3 h" `
MOV EBP,ESP魔力私服,最新魔力宝贝私服技术交流. _/ r3 X' ]3 X  S% _% c! W& R

这就是被修改的5字节原汇编码bbs.mocwww.com7 @3 j" d% K; X# B: J+ t3 ?% p

下面添加JMP命令调回去原函数魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表2 V. e& I; @" I8 e9 D
jmp 71a42e75bbs.mocwww.com/ f/ D3 m1 {7 Q
把原函数头以及JMP命令写入513135内存中妖城在线论坛7 \+ _$ e8 y1 t$ y
) \6 ]" z+ W) }2 u# }7 Y% U$ T9 j
这个地址的具体16进制代码忘记记录下来了- -你们你自己转换了—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート! t2 e7 r! C# c5 A
妖城在线论坛. n& s* Q& S5 r$ U. c
修改的代码从1000f287开始

修改为8B FF 55 8B EC E9 E4 38 A3 61—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート) L# k! p7 S, m$ G3 }9 A
然后从1000fc91-fca6全部都是90妖城在线论坛' Z! {5 \9 x( v* ~
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表- S: T$ W1 u! p9 r. E
这样修改后,反挂在接受封包RECV函数中所做的所有判定全部无效了妖城在线论坛  H) l( ?; M! F7 p) I1 m
bbs.mocwww.com4 m4 }- p$ w; K" D9 g/ s
第八个HOOK--DbgUiRemoteBreakin--OD调试所需函数--7C97211C魔力私服,最新魔力宝贝私服技术交流7 j0 z; z; i9 u# m! _
同RECV,有矫正,不可恢复魔力私服,最新魔力宝贝私服技术交流3 }/ P& b% \: }. J! s7 n

内存地址---10006CA8
修改方法:(由于此HOOK纯属破坏函数,所以修复的字节会比较多)—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート  V  }2 {9 g% ~( x: y( C
E9 85 C4 50 F0魔力私服,最新魔力宝贝私服技术交流1 I) b6 D( g# W" q/ H  `
内存地址---513135bbs.mocwww.com0 T& W1 R' D/ O3 a) t! C
6A 08 68 68 21 97 7C E8 A3 C7 FB FF 64 A1 18 00 00 00 E9 E2 EF 45 7C- r) n9 M, b+ L9 v. C

这里申明一下,为啥这里修改不像前面一样在DLL内存空间里面修改,DLL内存空间的汇编码如下
push esibbs.mocwww.com5 F2 `0 X* D' \8 |1 ]
push edi
push ebx
CALL 地址忘记了- -—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート! R2 v% L$ p6 O7 t- o  o
pop ebxbbs.mocwww.com7 F6 f* e1 ~) q+ {& h4 n
pop edi魔力私服,最新魔力宝贝私服技术交流/ Y2 N0 R9 {& F4 |/ m! e; _
pop esi—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート" B9 [1 y! a; F5 y6 m4 G8 g
ret 0010妖城在线论坛( U7 q& F+ b8 J; ~+ z$ @
bbs.mocwww.com- O0 G0 T5 X+ |5 H: D( C9 s2 {
push是压入数据于指定寄存器,而POP则是清除寄存器数据,两者对应的就是为了CALL完函数后所做的堆栈平衡,如果在这里直接修改,堆栈不平衡直接导致游戏崩溃
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表, P) }7 @. k7 _& k6 T3 ]
而CALL命令所需字节是5字节,刚好可以写个JMP,所以修改方法就有点复杂了妖城在线论坛/ S% a9 V. @8 X9 l$ S1 [

至此函数已全部修复,但HOOK绝对没有动,矫正不出来,OD可以正常加载CG了bbs.mocwww.com+ @3 J! o  u6 L

第九个HOOK--LoadLibraryExW--加载外部DLL所需函数--7C801AF5—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート3 Z* H( `$ P0 m1 e
同RECV,有矫正,不可恢复
内存地址---10006C7D---居然破坏了8条函数头指令- -蛋疼魔力私服,最新魔力宝贝私服技术交流$ |) ?5 {; w* x: Z# e( }5 z
6A 34 68 F8 E0 80 7C E8 D5 09 00 00 33 FF 89 7D D8 89 7D D4 89 7D E0 89
7D E4 8B 5D 10 E9 73 AE 7F 6C 90 90 90 90 90 90 90 90 90
至此函数已全部修复,但HOOK绝对没有动,矫正不出来,外部DLL可正常加载,且本身—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート( B5 S  L7 c& s4 k  v
验证函数调用信息的判断已被破坏

第十个HOOK--SEND--发送数据的函数(封包二次加密也在这里面了)--71A24C27
不可恢复,由于有二次加密,如恢复则直接断线bbs.mocwww.com: X. R9 N/ n4 T8 d
看看跳转处汇编码~~—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート0 M2 A# G' e) [& z6 ~# m/ s9 k+ N! y
cgx_e7ml.dll+EE94 - 56                   - push esibbs.mocwww.com- v, n* |% O* B6 y( ]
cgx_e7ml.dll+EE95 - 57                   - push edi—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート  ?) G% v' g! g1 w$ ]$ J& @
cgx_e7ml.dll+EE96 - 53                   - push ebx魔力私服,最新魔力宝贝私服技术交流% Q* w) c' x( |6 n
cgx_e7ml.dll+EE97 - 8D 74 24 10          - lea esi,[esp+10]
cgx_e7ml.dll+EE9B - 83 EC 10             - sub esp,10
cgx_e7ml.dll+EE9E - 8B FC                - mov edi,espbbs.mocwww.com: N, z6 g' Q3 N; d# |
cgx_e7ml.dll+EEA0 - FC                   - cld
cgx_e7ml.dll+EEA1 - B9 04000000          - mov ecx,00000004—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート. \* }5 B2 Y' Z* r, R7 k0 t
cgx_e7ml.dll+EEA6 - F3 A5                - repe movsd 魔力私服,最新魔力宝贝私服技术交流! e' P$ I2 ^  @7 \
cgx_e7ml.dll+EEA8 - E8 69F7FFFF          - call cgx_e7ml.dll+E616妖城在线论坛8 J  p( w( p# z: F( B/ w
cgx_e7ml.dll+EEAD - 5B                   - pop ebx妖城在线论坛' o$ [6 f. s! d# K3 ~" `
cgx_e7ml.dll+EEAE - 5F                   - pop edi魔力私服,最新魔力宝贝私服技术交流8 h( U" m$ m: [( L+ w: m$ O# I
cgx_e7ml.dll+EEAF - 5E                   - pop esi
cgx_e7ml.dll+EEB0 - C2 1000             - ret 0010

RET 10~~还是4参数~符合SEND函数的参数定义bbs.mocwww.com4 f' h5 _8 e0 ~4 M" i% K" h# A

参数一:套接字
参数二:封包内容指针
参数三:封包长度bbs.mocwww.com2 y8 Z9 H4 E1 W  R7 Y2 f) p
参数四:FLAG=0

理论上PUSH这四个参数,然后CALL加密函数地址1000E616就可以调用他的加密函数
来发包了- -未看具体加密细节~也未测试这个CALL有效性魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表7 A. x3 g% k: `% T6 Y0 S/ \9 ^* C
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート) Q1 F  u' c. o* M, F; q  p/ m8 a
一晚上写这玩意好累~最后的SEND分析就迟点再出吧- -—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート" A8 Z; O4 S7 |# Z0 ~
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート8 ^" Y4 u, M8 q( ^. T, H! y
并非秀技能~正如某人所言~这个可能也是没有技术含量~小白慢慢学~我承认我是小白哈~