打印

[讨论] CG-X-SEVER反挂分析(带破解--全汇编)

HOHO

妖使

Rank: 3 Rank: 3 Rank: 3

UID: 3805
精华: 2
积分: 1073
威望: 0 度

阁楼大中小发表于 2013-12-11 00:41 只看该作者

CG-X-SEVER反挂分析(带破解--全汇编)

使用软件XueTr和CE6.4驱动版bbs.mocwww.com0 y; Q) u# [2 x

启动游戏后一共有十个HOOK~—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート! [; l* P: p# f7 p+ @& `0 O

无驱动

一个个HOOK来搞吧- -
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート7 }$ J- X. ]5 x: \2 v% N8 m, d; q
第一个HOOK--地址004db520! J* f5 \* q  k8 ^  J9 z! n
处理方法魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表2 G' {/ J' t2 E. S
内存地址---004db55d
修改为6A 00 EB D8 02 00 00

第二个HOOK--地址004db566
- m2 S- _; P( z6 |妖城在线论坛处理方法魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表+ F, T3 g0 \" l8 d: p$ ]
内存地址---004db696妖城在线论坛+ c  c+ G$ c( \, }4 ^
修改为50 68 01 01 00 00 89 35 98 07 c3 00 E8 ED 26 E9 CB FE FF FF 90 90 魔力私服,最新魔力宝贝私服技术交流% f$ T" r9 o  R5 N
90 90 90 90 90 一直到4db68f都是90妖城在线论坛% M/ Q, L) `. w$ d7 \6 w/ ^  s
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート1 c4 B5 a" j! I1 o& }
第三个HOOK--地址004e1fe8魔力私服,最新魔力宝贝私服技术交流; E5 O1 r( {; _: i1 @
处理方法
内存地址---00163905妖城在线论坛, }' ?+ B0 w2 d+ P: L$ t# ]! ]
修改为---A0 50 53 C3 00 E9 E3 E6 37 00 90 90

第四个HOOK--地址004e20a0妖城在线论坛# ?. y9 U6 {3 K: I' [* F  ]/ Z
处理方法妖城在线论坛, O/ s1 |0 {3 H' z0 X( y2 b9 @3 R
内存地址---001638B8—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート& _* c8 V# b  j4 N
修改为---A0 08 4F C3 00 E9 E3 E7 37 00 90 90
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート7 d) I" e4 I: B( i9 ^7 @8 ?
以上4个HOOK都是和DLL无关连的~其实可以直接恢复HOOK,按照以上操作可以在不恢复HOOK的情况下让函数还原—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート: |( h2 ~1 N. k" ?
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表/ R- r4 r& B, k) `' f2 a
第五个HOOK--地址00433180
2 a* h. k$ I# Q! u6 K处理方法魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表9 m, l) b+ V& e* F: `) c& T
内存地址---10006cc3魔力私服,最新魔力宝贝私服技术交流4 W) l+ A- v) a6 w, ?, s
修改为---90 90 90 90 90

这个HOOK代码里面有个CALL会跳到DLL另一地址,如果不修改直接恢复,HOOK也会存在,但游戏不会崩,后验证其实此HOOK是图档相关的修复,可不理会

第六个HOOK--WSOCK32中RECV--地址71a42e70  C: `7 H: K4 d% C) Z
第七个HOOK--WS2_32中的RECV--地址71A2676F魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表4 h  @8 w! t1 a% ~- m4 K
) l- ~7 e1 o: w0 h
WSOCK32.recv - E9 12C45C9E          - jmp cgx_e7ml.dll+F287
WSOCK32.recv+5- 51                   - push ecxbbs.mocwww.com0 {: O! t: l* D' @( S, l
WSOCK32.recv+6- 51                   - push ecx

RECV函数头被修改前5字节,改为了JMP命令
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表- D0 u2 c! A, y
这里我们不能动这5字节,因为有矫正,只要改了或者恢复了,会掉线的妖城在线论坛3 x+ O/ b- T& y, `$ _: E6 @6 N
魔力私服,最新魔力宝贝私服技术交流# _' D2 U7 u& T; l% u2 v5 D
那我们只能修改他跳转地址中的代码了—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート  I% E! T7 s+ ^2 I
8 b. K- d9 A  \8 U1 _
以上两个HOOK都被指向同一个地址1000f287) R5 ^  v# n+ b5 R& w) }% @
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート" s9 @0 J7 v' b
cgx_e7ml.dll+F287 - 56                   - push esi—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート: K1 V4 Q) V! I. s8 G2 N% x
cgx_e7ml.dll+F288 - 57                   - push edi妖城在线论坛0 U6 J0 X& K5 x/ n6 i3 \1 ^+ P5 q8 l: k
cgx_e7ml.dll+F289 - 53                   - push ebx妖城在线论坛1 D* t) V  S+ D( }8 ~# P
cgx_e7ml.dll+F28A - 8D 74 24 10          - lea esi,[esp+10]魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表2 Z2 J% [- ?1 `6 a$ F, Y2 i
cgx_e7ml.dll+F28E - 83 EC 10             - sub esp,10魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表3 G" M; o6 n/ o3 V, t) H
cgx_e7ml.dll+F291 - 8B FC                - mov edi,esp—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート3 q2 \0 n" ?2 V6 h
cgx_e7ml.dll+F293 - FC                   - cld —魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート9 B6 ?) ]: v! m7 O- O( s# v
cgx_e7ml.dll+F294 - B9 04000000          - mov ecx,00000004
cgx_e7ml.dll+F299 - F3 A5                - repe movsd
cgx_e7ml.dll+F29B - E8 F2FDFFFF          - call cgx_e7ml.dll+F092妖城在线论坛0 Z4 C! H' P* |* h' V& v% \* c
cgx_e7ml.dll+F2A0 - 5B                   - pop ebx
cgx_e7ml.dll+F2A1 - 5F                   - pop edi—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート1 t* K. j! v9 M& W
cgx_e7ml.dll+F2A2 - 5E                   - pop esi
cgx_e7ml.dll+F2A3 - C2 1000             - ret 0010—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート; U* i- F8 Z( f1 r' k9 V& p% p
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表: b$ O: {+ C# E- R. X
RET 10--函数调用有4参数~具体代码我就不解释了,我告诉你怎么改. ^+ G$ P- F0 ]$ ?3 b7 Q* ]
bbs.mocwww.com+ l/ c  o  U" e1 V5 h
RECV原函数头汇编码如下/ q  {$ Q" n* ^
MOV EDI,EDI—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート' e8 d/ g9 Y/ T( G
PUSH EBP妖城在线论坛6 ?5 B% W" ~+ c  p
MOV EBP,ESP
妖城在线论坛' D4 u3 c: ^) k* B& s7 t
这就是被修改的5字节原汇编码—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート) ~, e& h! @  @  ]

下面添加JMP命令调回去原函数魔力私服,最新魔力宝贝私服技术交流& H/ ]$ j4 P+ A* C8 t) a& i0 \
jmp 71a42e75
把原函数头以及JMP命令写入513135内存中bbs.mocwww.com0 p# h- X3 s6 A3 ^

这个地址的具体16进制代码忘记记录下来了- -你们你自己转换了妖城在线论坛4 R. O. Q: X8 B+ H) |( o: T+ I9 ?
bbs.mocwww.com0 L; M6 O  \( {; i# I/ c" i) t
修改的代码从1000f287开始

修改为8B FF 55 8B EC E9 E4 38 A3 61魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表8 G. M0 E1 y: B: n% U9 P
然后从1000fc91-fca6全部都是90魔力私服,最新魔力宝贝私服技术交流5 B; V8 I5 o. e

这样修改后,反挂在接受封包RECV函数中所做的所有判定全部无效了
bbs.mocwww.com( a. D, y* S& s+ c
第八个HOOK--DbgUiRemoteBreakin--OD调试所需函数--7C97211C
同RECV,有矫正,不可恢复魔力私服,最新魔力宝贝私服技术交流6 f) U, Y; ]6 d0 R
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表9 @; Z+ t2 o9 s
内存地址---10006CA8魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表- e) O) X0 k. w
修改方法:(由于此HOOK纯属破坏函数,所以修复的字节会比较多)
E9 85 C4 50 F0魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表$ H. j+ l3 t6 B( d; q  J8 A
内存地址---513135
6A 08 68 68 21 97 7C E8 A3 C7 FB FF 64 A1 18 00 00 00 E9 E2 EF 45 7C—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート, ~6 H  L7 M: {7 d4 T6 T$ F
妖城在线论坛  \5 a5 y( C$ N  c( v, K2 G
这里申明一下,为啥这里修改不像前面一样在DLL内存空间里面修改,DLL内存空间的汇编码如下
push esi
push edi
push ebx
CALL 地址忘记了- -
pop ebx
pop edi
pop esi
ret 00105 g1 z2 C# w+ d- I  ?/ d1 l
魔力私服,最新魔力宝贝私服技术交流) }0 b. b& w$ L3 M; I3 q
push是压入数据于指定寄存器,而POP则是清除寄存器数据,两者对应的就是为了CALL完函数后所做的堆栈平衡,如果在这里直接修改,堆栈不平衡直接导致游戏崩溃—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート) z; g5 b' L! i

而CALL命令所需字节是5字节,刚好可以写个JMP,所以修改方法就有点复杂了妖城在线论坛5 M9 R, \* t5 q2 m8 H( R
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表; p* L: G( Q5 ^3 A5 A
至此函数已全部修复,但HOOK绝对没有动,矫正不出来,OD可以正常加载CG了bbs.mocwww.com0 V8 P$ c* G: b( z7 x& f$ f. ~

第九个HOOK--LoadLibraryExW--加载外部DLL所需函数--7C801AF5
同RECV,有矫正,不可恢复魔力私服,最新魔力宝贝私服技术交流4 @* n2 t  H$ W; p1 F
内存地址---10006C7D---居然破坏了8条函数头指令- -蛋疼妖城在线论坛' O9 O4 K2 `8 r  T( k9 T, G
6A 34 68 F8 E0 80 7C E8 D5 09 00 00 33 FF 89 7D D8 89 7D D4 89 7D E0 89
7D E4 8B 5D 10 E9 73 AE 7F 6C 90 90 90 90 90 90 90 90 90
至此函数已全部修复,但HOOK绝对没有动,矫正不出来,外部DLL可正常加载,且本身妖城在线论坛/ I7 b8 w% W& u- ]+ z! e" B7 A
验证函数调用信息的判断已被破坏魔力私服,最新魔力宝贝私服技术交流5 m* B+ g5 N, |% _% [* M2 k/ m0 u

第十个HOOK--SEND--发送数据的函数(封包二次加密也在这里面了)--71A24C27
不可恢复,由于有二次加密,如恢复则直接断线—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート% P) V" t( C  ?" U
看看跳转处汇编码~~
cgx_e7ml.dll+EE94 - 56                   - push esi
cgx_e7ml.dll+EE95 - 57                   - push edi
cgx_e7ml.dll+EE96 - 53                   - push ebx魔力私服,最新魔力宝贝私服技术交流4 \9 S2 F- r$ t6 _/ i# b  ?# |
cgx_e7ml.dll+EE97 - 8D 74 24 10          - lea esi,[esp+10]: s: J# Z; @, }0 v! [
cgx_e7ml.dll+EE9B - 83 EC 10             - sub esp,10
cgx_e7ml.dll+EE9E - 8B FC                - mov edi,esp—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート# f, P1 {; z2 G9 R% |1 c
cgx_e7ml.dll+EEA0 - FC                   - cld
cgx_e7ml.dll+EEA1 - B9 04000000          - mov ecx,00000004
cgx_e7ml.dll+EEA6 - F3 A5                - repe movsd
cgx_e7ml.dll+EEA8 - E8 69F7FFFF          - call cgx_e7ml.dll+E616
cgx_e7ml.dll+EEAD - 5B                   - pop ebx—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート6 K* y5 U' \( W; j
cgx_e7ml.dll+EEAE - 5F                   - pop edi
cgx_e7ml.dll+EEAF - 5E                   - pop esi
cgx_e7ml.dll+EEB0 - C2 1000             - ret 0010

RET 10~~还是4参数~符合SEND函数的参数定义

参数一:套接字妖城在线论坛. Q9 x4 \6 L+ L, }  n+ ?( c1 u
参数二:封包内容指针—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート) l# m2 c5 W8 F8 y: N- N* v
参数三:封包长度  P/ V7 s" A* O6 y  U
参数四:FLAG=0—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート7 z& g% h& T4 K

理论上PUSH这四个参数,然后CALL加密函数地址1000E616就可以调用他的加密函数魔力私服,最新魔力宝贝私服技术交流% z* y5 X8 I/ G& Z, d8 |- F$ I
来发包了- -未看具体加密细节~也未测试这个CALL有效性
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート4 f$ Y+ O# f( c( q: g
一晚上写这玩意好累~最后的SEND分析就迟点再出吧- -

并非秀技能~正如某人所言~这个可能也是没有技术含量~小白慢慢学~我承认我是小白哈~