打印

[讨论] CG-X-SEVER反挂分析(带破解--全汇编)

HOHO

妖使

Rank: 3 Rank: 3 Rank: 3

UID: 3805
精华: 2
积分: 1073
威望: 0 度

阁楼大中小发表于 2013-12-11 00:41 只看该作者

CG-X-SEVER反挂分析(带破解--全汇编)

使用软件XueTr和CE6.4驱动版—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート" l1 u* n- O% K

启动游戏后一共有十个HOOK~

无驱动—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート/ Q# M( H  @4 x( n3 P* P

一个个HOOK来搞吧- -

第一个HOOK--地址004db520/ |3 G* N+ O6 _4 `' |- z
处理方法, k3 ]3 i/ Q$ @1 y
内存地址---004db55d魔力私服,最新魔力宝贝私服技术交流* X+ }# u; d; B* [/ f7 t
修改为6A 00 EB D8 02 00 00—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート4 O' ~  |9 \+ R# L* F. ?3 R

第二个HOOK--地址004db566魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表: q( }. C% }1 w# y6 x. y
处理方法魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表  _; B: o  J( C- ]  B  L
内存地址---004db696$ f/ Q8 ]! O/ H4 p& ?: t
修改为50 68 01 01 00 00 89 35 98 07 c3 00 E8 ED 26 E9 CB FE FF FF 90 90 妖城在线论坛6 O0 w# [2 ]6 O: c3 }; F, e5 y1 D3 ^7 f
90 90 90 90 90 一直到4db68f都是90

第三个HOOK--地址004e1fe8—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート, T" x7 k2 L( A& W
处理方法8 @' B% Z: x6 y$ k
内存地址---00163905
修改为---A0 50 53 C3 00 E9 E3 E6 37 00 90 90

第四个HOOK--地址004e20a0魔力私服,最新魔力宝贝私服技术交流( w' U* @- E, y  c9 b
处理方法
内存地址---001638B8魔力私服,最新魔力宝贝私服技术交流6 H& A* |! m! `+ @2 p
修改为---A0 08 4F C3 00 E9 E3 E7 37 00 90 90bbs.mocwww.com$ z- l" c$ y* S6 M% T& l! E( P

以上4个HOOK都是和DLL无关连的~其实可以直接恢复HOOK,按照以上操作可以在不恢复HOOK的情况下让函数还原—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート% `, I5 g% Y# ?$ c
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表1 G9 |; n5 Y9 |8 `$ m
第五个HOOK--地址00433180魔力私服,最新魔力宝贝私服技术交流5 B! m* m) M- T+ \0 M  E5 Z. c6 Y
处理方法
内存地址---10006cc3. F7 G& e+ L* T6 c8 D
修改为---90 90 90 90 90妖城在线论坛, C) j+ E' I+ x# k5 c1 [

这个HOOK代码里面有个CALL会跳到DLL另一地址,如果不修改直接恢复,HOOK也会存在,但游戏不会崩,后验证其实此HOOK是图档相关的修复,可不理会
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表7 m  u) n/ \! k2 u* |' m4 ^( o
第六个HOOK--WSOCK32中RECV--地址71a42e70bbs.mocwww.com# N; i& I5 z* V! S+ q9 a9 Z
第七个HOOK--WS2_32中的RECV--地址71A2676F妖城在线论坛& q3 M' g& x" o. s( S
bbs.mocwww.com" @3 ], c: k  Q5 D3 l3 G& ]! T. n9 n
WSOCK32.recv - E9 12C45C9E          - jmp cgx_e7ml.dll+F287—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート8 $ K" T" _! ^3 O1 _! k) b
WSOCK32.recv+5- 51                   - push ecx
WSOCK32.recv+6- 51                   - push ecx妖城在线论坛3 k! w: h* V- W  o$ z, X/ ?$ O

RECV函数头被修改前5字节,改为了JMP命令妖城在线论坛" ]. [0 ?( B8 m- O2 C9 u
bbs.mocwww.com* t) c- ^; P$ j. m8 u. j5 Q
这里我们不能动这5字节,因为有矫正,只要改了或者恢复了,会掉线的

那我们只能修改他跳转地址中的代码了
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート+ H9 ~* r& ]: }) e
以上两个HOOK都被指向同一个地址1000f287
bbs.mocwww.com7 _( T5 N" j; w& l
cgx_e7ml.dll+F287 - 56                   - push esi魔力私服,最新魔力宝贝私服技术交流1 N4 g  \4 $ {# v6 Q
cgx_e7ml.dll+F288 - 57                   - push edi
cgx_e7ml.dll+F289 - 53                   - push ebx
cgx_e7ml.dll+F28A - 8D 74 24 10          - lea esi,[esp+10]
cgx_e7ml.dll+F28E - 83 EC 10             - sub esp,10
cgx_e7ml.dll+F291 - 8B FC                - mov edi,esp
cgx_e7ml.dll+F293 - FC                   - cld
cgx_e7ml.dll+F294 - B9 04000000          - mov ecx,00000004魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表. \8 e9 j# x; @! t' t: F  e$ [* I, ^
cgx_e7ml.dll+F299 - F3 A5                - repe movsd 妖城在线论坛5 y5 ~$ L& l6 F! {  M
cgx_e7ml.dll+F29B - E8 F2FDFFFF          - call cgx_e7ml.dll+F092: X% k) m' D" E( S" }( f
cgx_e7ml.dll+F2A0 - 5B                   - pop ebx魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表) W0 g0 P$ m# L6 i+ V& Z
cgx_e7ml.dll+F2A1 - 5F                   - pop edi妖城在线论坛/ _" M4 Q4 i5 ]1 V/ H% @% n
cgx_e7ml.dll+F2A2 - 5E                   - pop esi9 M$ m4 C- f4 C+ k+ f# V1 O
cgx_e7ml.dll+F2A3 - C2 1000             - ret 0010
魔力私服,最新魔力宝贝私服技术交流. w; x0 ], b0 h/ i* S
RET 10--函数调用有4参数~具体代码我就不解释了,我告诉你怎么改魔力私服,最新魔力宝贝私服技术交流- B. G- l' k& k. F# k
2 a6 c, a- Z5 ?& V6 q4 k' y! E
RECV原函数头汇编码如下—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート9 ~6 V, E, W+ P5 B
MOV EDI,EDI妖城在线论坛) F) F8 L' ], m
PUSH EBP
MOV EBP,ESP魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表! E1 q' y4 f) Y, s
魔力私服,最新魔力宝贝私服技术交流4 B. W) H6 e/ {: m
这就是被修改的5字节原汇编码

下面添加JMP命令调回去原函数
jmp 71a42e75
把原函数头以及JMP命令写入513135内存中
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート7 \* q& C4 n' Q  K0 @6 X: _/ ^6 F
这个地址的具体16进制代码忘记记录下来了- -你们你自己转换了魔力私服,最新魔力宝贝私服技术交流. o: f5 o3 I/ _) ]2 ^! w, b

修改的代码从1000f287开始
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート: r' c. Z+ `  @% l; l/ u( g
修改为8B FF 55 8B EC E9 E4 38 A3 61
然后从1000fc91-fca6全部都是90
妖城在线论坛& q3 j3 L9 j- S, I
这样修改后,反挂在接受封包RECV函数中所做的所有判定全部无效了妖城在线论坛' A% Z# E. H. d
bbs.mocwww.com3 O  ]8 \* _3 J6 e
第八个HOOK--DbgUiRemoteBreakin--OD调试所需函数--7C97211C
同RECV,有矫正,不可恢复bbs.mocwww.com/ D" m/ {" {, [
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表/ z' n2 A; O4 U4 x! J8 L
内存地址---10006CA8
修改方法:(由于此HOOK纯属破坏函数,所以修复的字节会比较多)
E9 85 C4 50 F0魔力私服,最新魔力宝贝私服技术交流6 e3 Z: W$ n7 G6 Q& U
内存地址---513135
6A 08 68 68 21 97 7C E8 A3 C7 FB FF 64 A1 18 00 00 00 E9 E2 EF 45 7C
魔力私服,最新魔力宝贝私服技术交流. ^9 X( U# H' a$ b+ k9 T
这里申明一下,为啥这里修改不像前面一样在DLL内存空间里面修改,DLL内存空间的汇编码如下4 m( w' G$ E$ ^) Q  ^. U: o
push esi
push edi- Z9 a" d; m; k. s2 u4 j9 v. d
push ebx
CALL 地址忘记了- -
pop ebx—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート; k4 U3 K2 d7 B
pop edi
pop esi
ret 0010
魔力私服,最新魔力宝贝私服技术交流& r, t+ Z1 ~# v: W+ y
push是压入数据于指定寄存器,而POP则是清除寄存器数据,两者对应的就是为了CALL完函数后所做的堆栈平衡,如果在这里直接修改,堆栈不平衡直接导致游戏崩溃bbs.mocwww.com) R* N; y. K( G+ f1 i  c
bbs.mocwww.com! |# ^1 D! c- m+ u. j& R
而CALL命令所需字节是5字节,刚好可以写个JMP,所以修改方法就有点复杂了" i+ s' x: z. S9 g  G" F

至此函数已全部修复,但HOOK绝对没有动,矫正不出来,OD可以正常加载CG了魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表$ U/ y; [8 H( m2 t! r6 P

第九个HOOK--LoadLibraryExW--加载外部DLL所需函数--7C801AF5魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表3 u0 {$ v' i0 ~( A5 M
同RECV,有矫正,不可恢复
内存地址---10006C7D---居然破坏了8条函数头指令- -蛋疼6 A! d0 O' m6 B) \0 c1 B, T; B: H+ W
6A 34 68 F8 E0 80 7C E8 D5 09 00 00 33 FF 89 7D D8 89 7D D4 89 7D E0 89
7D E4 8B 5D 10 E9 73 AE 7F 6C 90 90 90 90 90 90 90 90 90
至此函数已全部修复,但HOOK绝对没有动,矫正不出来,外部DLL可正常加载,且本身
验证函数调用信息的判断已被破坏
妖城在线论坛/ |2 l+ y( W+ M8 v( @' v- t( s
第十个HOOK--SEND--发送数据的函数(封包二次加密也在这里面了)--71A24C27
不可恢复,由于有二次加密,如恢复则直接断线' _. H" Z6 Y7 B! L; ]( F: M% D! s8 Q6 _
看看跳转处汇编码~~bbs.mocwww.com1 p5 q9 a- p! s
cgx_e7ml.dll+EE94 - 56                   - push esi
cgx_e7ml.dll+EE95 - 57                   - push edibbs.mocwww.com( ]. o  z2 G8 n- h# h! r% s9 I8 K
cgx_e7ml.dll+EE96 - 53                   - push ebx
cgx_e7ml.dll+EE97 - 8D 74 24 10          - lea esi,[esp+10]魔力私服,最新魔力宝贝私服技术交流3 A# q6 C. r# S0 f2 C
cgx_e7ml.dll+EE9B - 83 EC 10             - sub esp,10* k9 e2 I4 W( p: ~
cgx_e7ml.dll+EE9E - 8B FC                - mov edi,esp—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート  r4 _' U! S# M$ P
cgx_e7ml.dll+EEA0 - FC                   - cld 魔力私服,最新魔力宝贝私服技术交流2 Y! U( @/ t4 m+ v  V
cgx_e7ml.dll+EEA1 - B9 04000000          - mov ecx,00000004bbs.mocwww.com: t* a# v% Y( S; o% L! o/ }3 i
cgx_e7ml.dll+EEA6 - F3 A5                - repe movsd ) |2 d' B+ D6 x3 n
cgx_e7ml.dll+EEA8 - E8 69F7FFFF          - call cgx_e7ml.dll+E616bbs.mocwww.com2 X, s' V' e4 P) }. c# d
cgx_e7ml.dll+EEAD - 5B                   - pop ebx魔力私服,最新魔力宝贝私服技术交流0 J* ^2 C6 f# W% o" ?
cgx_e7ml.dll+EEAE - 5F                   - pop edi) h# z2 C9 s$ R  Y( v
cgx_e7ml.dll+EEAF - 5E                   - pop esi妖城在线论坛2 |3 O, ^& J  j3 }( D7 J3 q! O
cgx_e7ml.dll+EEB0 - C2 1000             - ret 0010—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート1 j3 j" p$ h$ v

RET 10~~还是4参数~符合SEND函数的参数定义2 x: V' Y% k) h; k5 i( b
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート5 s2 L; z" e" [0 l( ~
参数一:套接字. _) @' U$ Q' f0 S
参数二:封包内容指针
参数三:封包长度魔力私服,最新魔力宝贝私服技术交流$ R- B# `- [4 R- K" \7 p5 z
参数四:FLAG=0

理论上PUSH这四个参数,然后CALL加密函数地址1000E616就可以调用他的加密函数魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表9 o" T* r) J$ }% o1 G6 F
来发包了- -未看具体加密细节~也未测试这个CALL有效性

一晚上写这玩意好累~最后的SEND分析就迟点再出吧- -' O, U, I' D5 E2 K1 D
bbs.mocwww.com8 f! u$ M, o1 y+ R  p0 a5 u0 e9 J: x
并非秀技能~正如某人所言~这个可能也是没有技术含量~小白慢慢学~我承认我是小白哈~