打印

[讨论] CG-X-SEVER反挂分析(带破解--全汇编)

HOHO

妖使

Rank: 3 Rank: 3 Rank: 3

UID: 3805
精华: 2
积分: 1073
威望: 0 度

阁楼大中小发表于 2013-12-11 00:41 只看该作者

CG-X-SEVER反挂分析(带破解--全汇编)

使用软件XueTr和CE6.4驱动版魔力私服,最新魔力宝贝私服技术交流. Z8 J9 g$ P, F. b
魔力私服,最新魔力宝贝私服技术交流" G2 d$ y1 _& a
启动游戏后一共有十个HOOK~

无驱动

一个个HOOK来搞吧- -

第一个HOOK--地址004db520bbs.mocwww.com* N& g! q7 l! w! t- H$ N( z# F
处理方法魔力私服,最新魔力宝贝私服技术交流" `1 S0 T% j- N5 g
内存地址---004db55d魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表) ]$ ~* t5 B6 C  ?1 d8 _9 f( Z
修改为6A 00 EB D8 02 00 00

第二个HOOK--地址004db566
5 X' C( C$ s3 U$ m9 E3 V. G. B处理方法
内存地址---004db696
修改为50 68 01 01 00 00 89 35 98 07 c3 00 E8 ED 26 E9 CB FE FF FF 90 90 魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表; S4 @; G/ j) _) m: v/ W
90 90 90 90 90 一直到4db68f都是90

第三个HOOK--地址004e1fe8妖城在线论坛; a! d' X# B- \6 T* P7 `1 t
处理方法
内存地址---00163905
修改为---A0 50 53 C3 00 E9 E3 E6 37 00 90 90妖城在线论坛  Z9 u5 ?8 Z' G; C: s9 z: [

第四个HOOK--地址004e20a0
处理方法
内存地址---001638B8魔力私服,最新魔力宝贝私服技术交流7 I3 V1 B: F# X8 X, O2 e( |; e  S
修改为---A0 08 4F C3 00 E9 E3 E7 37 00 90 90妖城在线论坛% a5 r! |- b& c, t/ H
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表, U8 ]. M. d- g1 i; N  _' r
以上4个HOOK都是和DLL无关连的~其实可以直接恢复HOOK,按照以上操作可以在不恢复HOOK的情况下让函数还原9 i/ ~; m. L0 K( e; ~0 _
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表1 h1 `6 p6 f' k. @' i
第五个HOOK--地址00433180
处理方法
内存地址---10006cc3
修改为---90 90 90 90 90bbs.mocwww.com7 n* t$ u3 U4 \- g( G$ G5 r

这个HOOK代码里面有个CALL会跳到DLL另一地址,如果不修改直接恢复,HOOK也会存在,但游戏不会崩,后验证其实此HOOK是图档相关的修复,可不理会魔力私服,最新魔力宝贝私服技术交流6 \: Z2 s  e$ T4 F
妖城在线论坛7 s4 o9 c3 [  J7 f* T* ]( s
第六个HOOK--WSOCK32中RECV--地址71a42e70/ ]/ ~. s3 z5 _0 V* J, S
第七个HOOK--WS2_32中的RECV--地址71A2676F妖城在线论坛: i5 U0 [2 \+ ^) a) M- Z3 Z
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート+ O3 Z: g; h$ Q: C3 o  @. g
WSOCK32.recv - E9 12C45C9E          - jmp cgx_e7ml.dll+F287bbs.mocwww.com( [: z. m0 s/ |# I1 ^4 [: i! t
WSOCK32.recv+5- 51                   - push ecx
WSOCK32.recv+6- 51                   - push ecx
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表, L  h6 l. m! G2 B7 C( k+ i2 P9 }
RECV函数头被修改前5字节,改为了JMP命令

这里我们不能动这5字节,因为有矫正,只要改了或者恢复了,会掉线的魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表; \, n8 j% j) q: r: h3 P
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート& m) Z( E3 X0 }
那我们只能修改他跳转地址中的代码了妖城在线论坛/ w$ T$ ~5 o# j
妖城在线论坛/ ], n% d  p2 x3 b$ W' |$ V. F
以上两个HOOK都被指向同一个地址1000f287

cgx_e7ml.dll+F287 - 56                   - push esi魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表( g# F" ~# |0 e6 c6 w
cgx_e7ml.dll+F288 - 57                   - push edibbs.mocwww.com, n: Z5 z7 f  V9 ]# W
cgx_e7ml.dll+F289 - 53                   - push ebx
cgx_e7ml.dll+F28A - 8D 74 24 10          - lea esi,[esp+10]魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表6 z8 }# g# ~& P$ Q& M0 S
cgx_e7ml.dll+F28E - 83 EC 10             - sub esp,10; Q3 m/ f% ?0 K/ e
cgx_e7ml.dll+F291 - 8B FC                - mov edi,esp
cgx_e7ml.dll+F293 - FC                   - cld —魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート: N$ z, ^3 }: c8 |! j2 Z
cgx_e7ml.dll+F294 - B9 04000000          - mov ecx,00000004
cgx_e7ml.dll+F299 - F3 A5                - repe movsd
cgx_e7ml.dll+F29B - E8 F2FDFFFF          - call cgx_e7ml.dll+F092妖城在线论坛4 M) A% e' Z9 j
cgx_e7ml.dll+F2A0 - 5B                   - pop ebxbbs.mocwww.com3 X% Y2 w4 {4 J! C) [
cgx_e7ml.dll+F2A1 - 5F                   - pop edi
cgx_e7ml.dll+F2A2 - 5E                   - pop esi魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表2 N. ^1 |' A! s0 v% z$ b# U
cgx_e7ml.dll+F2A3 - C2 1000             - ret 0010
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表& S' R0 u, @& u6 {4 n( N" D7 [
RET 10--函数调用有4参数~具体代码我就不解释了,我告诉你怎么改—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート1 p) p! I. j% p

RECV原函数头汇编码如下
MOV EDI,EDI
PUSH EBP
MOV EBP,ESP魔力私服,最新魔力宝贝私服技术交流) `- D) G7 |! Y0 O  _
bbs.mocwww.com% ]" K- r8 L6 s0 o* b7 _  j8 q. Z
这就是被修改的5字节原汇编码
妖城在线论坛  q. q3 p* J' o- j1 O) g" d: \
下面添加JMP命令调回去原函数妖城在线论坛4 ~8 X% S' @* p6 I- V( S3 w
jmp 71a42e757 g; A: H8 v" k& E/ M1 x/ x
把原函数头以及JMP命令写入513135内存中
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表% J. u& q) P2 t' e
这个地址的具体16进制代码忘记记录下来了- -你们你自己转换了魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表! x( `2 e; a# A
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表7 |  ~7 x1 p3 ~: |; g- ?) ]
修改的代码从1000f287开始魔力私服,最新魔力宝贝私服技术交流, n7 M0 ^4 M/ Z' i+ |
魔力私服,最新魔力宝贝私服技术交流' K' D3 r3 C* N7 o+ Y) J
修改为8B FF 55 8B EC E9 E4 38 A3 619 u6 R9 n  ^9 ]! \+ f' h8 T
然后从1000fc91-fca6全部都是90魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表- r4 f5 s4 d5 p( ^0 X
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート. i  B; G* X% ]: O3 q/ l
这样修改后,反挂在接受封包RECV函数中所做的所有判定全部无效了—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート9 }2 J+ V% P( D0 e& h2 [, ^

第八个HOOK--DbgUiRemoteBreakin--OD调试所需函数--7C97211C
9 g4 V7 Y, j2 D- W妖城在线论坛同RECV,有矫正,不可恢复
魔力私服,最新魔力宝贝私服技术交流1 [8 Z. X' f/ k* c) m0 ^  m+ a% P  B4 H
内存地址---10006CA8—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート" U+ i$ L1 [* m( k  P6 u2 X1 a- F  y
修改方法:(由于此HOOK纯属破坏函数,所以修复的字节会比较多)
E9 85 C4 50 F0
内存地址---513135魔力私服,最新魔力宝贝私服技术交流2 {) G4 b# C, D: p, m) c
6A 08 68 68 21 97 7C E8 A3 C7 FB FF 64 A1 18 00 00 00 E9 E2 EF 45 7C妖城在线论坛9 \6 m9 h. ^$ b, @3 b& d

这里申明一下,为啥这里修改不像前面一样在DLL内存空间里面修改,DLL内存空间的汇编码如下
push esi
push edi魔力私服,最新魔力宝贝私服技术交流% p9 Y& R9 o# R% n: L* E4 g+ X* \
push ebx
CALL 地址忘记了- -2 ]. X1 k& @8 J
pop ebx
pop edi
pop esi
ret 0010—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート7 I% T# l- t  B  x

push是压入数据于指定寄存器,而POP则是清除寄存器数据,两者对应的就是为了CALL完函数后所做的堆栈平衡,如果在这里直接修改,堆栈不平衡直接导致游戏崩溃

而CALL命令所需字节是5字节,刚好可以写个JMP,所以修改方法就有点复杂了魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表2 [- J' \6 D' g7 c2 a+ b. B2 _

至此函数已全部修复,但HOOK绝对没有动,矫正不出来,OD可以正常加载CG了

第九个HOOK--LoadLibraryExW--加载外部DLL所需函数--7C801AF5
同RECV,有矫正,不可恢复
内存地址---10006C7D---居然破坏了8条函数头指令- -蛋疼# ^; E/ x$ x* \* O
6A 34 68 F8 E0 80 7C E8 D5 09 00 00 33 FF 89 7D D8 89 7D D4 89 7D E0 89
7D E4 8B 5D 10 E9 73 AE 7F 6C 90 90 90 90 90 90 90 90 90
至此函数已全部修复,但HOOK绝对没有动,矫正不出来,外部DLL可正常加载,且本身
验证函数调用信息的判断已被破坏魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表: J$ ~# [7 s7 F8 N) U
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表9 q/ \. B) C% q4 q  k
第十个HOOK--SEND--发送数据的函数(封包二次加密也在这里面了)--71A24C27—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート9 z7 z; _. }: c9 t5 _0 m1 ]
不可恢复,由于有二次加密,如恢复则直接断线
看看跳转处汇编码~~
cgx_e7ml.dll+EE94 - 56                   - push esi妖城在线论坛6 j5 K8 Z7 P% K; |/ J: d! W# N3 q& C( r
cgx_e7ml.dll+EE95 - 57                   - push edi
cgx_e7ml.dll+EE96 - 53                   - push ebx
cgx_e7ml.dll+EE97 - 8D 74 24 10          - lea esi,[esp+10]
cgx_e7ml.dll+EE9B - 83 EC 10             - sub esp,10—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート# g3 S0 E* @' D5 B; S+ B
cgx_e7ml.dll+EE9E - 8B FC                - mov edi,esp
cgx_e7ml.dll+EEA0 - FC                   - cld 魔力私服,最新魔力宝贝私服技术交流6 z& T3 ?$ ]7 z: Z/ S; s
cgx_e7ml.dll+EEA1 - B9 04000000          - mov ecx,00000004
cgx_e7ml.dll+EEA6 - F3 A5                - repe movsd
cgx_e7ml.dll+EEA8 - E8 69F7FFFF          - call cgx_e7ml.dll+E616
cgx_e7ml.dll+EEAD - 5B                   - pop ebxbbs.mocwww.com: H+ A+ i# j$ C1 l
cgx_e7ml.dll+EEAE - 5F                   - pop edi魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表3 F" @; O; x. ~9 q4 s1 R& G# s
cgx_e7ml.dll+EEAF - 5E                   - pop esi—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート+ m. }- F/ Z) V# P1 {
cgx_e7ml.dll+EEB0 - C2 1000             - ret 0010bbs.mocwww.com% C2 Y2 @- `& o( |: p9 Y" L; s( c
) K; ~" k4 Z* @& U
RET 10~~还是4参数~符合SEND函数的参数定义魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表2 z' ~$ b! `$ y$ b, F

参数一:套接字—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート" B$ b: ~, T" r" A
参数二:封包内容指针bbs.mocwww.com- K6 s. f7 C; @! T$ f' @, A
参数三:封包长度1 U+ H8 O: z; ?
参数四:FLAG=0
  h: n) t1 G4 j1 ]" l, M
理论上PUSH这四个参数,然后CALL加密函数地址1000E616就可以调用他的加密函数
来发包了- -未看具体加密细节~也未测试这个CALL有效性
bbs.mocwww.com! r: p1 f2 a7 x4 K! @( y
一晚上写这玩意好累~最后的SEND分析就迟点再出吧- -
bbs.mocwww.com" T( ?$ c8 \. L7 P4 F
并非秀技能~正如某人所言~这个可能也是没有技术含量~小白慢慢学~我承认我是小白哈~