打印

[讨论] CG-X-SEVER反挂分析(带破解--全汇编)

HOHO

妖使

Rank: 3 Rank: 3 Rank: 3

UID: 3805
精华: 2
积分: 1073
威望: 0 度

阁楼大中小发表于 2013-12-11 00:41 只看该作者

CG-X-SEVER反挂分析(带破解--全汇编)

使用软件XueTr和CE6.4驱动版bbs.mocwww.com6 f" L8 [+ u( v/ D* V2 G5 l

启动游戏后一共有十个HOOK~魔力私服,最新魔力宝贝私服技术交流' v0 r4 H# F8 j1 \% y
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート, s1 A2 G( E" c) L
无驱动

一个个HOOK来搞吧- -

第一个HOOK--地址004db520
处理方法
内存地址---004db55d
修改为6A 00 EB D8 02 00 00
妖城在线论坛+ H* n0 ?: I8 V, ]1 V! v4 |
第二个HOOK--地址004db566) H* t6 k/ f- D# H- k7 V4 @
处理方法—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート! x; V9 e6 n$ @# O8 e
内存地址---004db696bbs.mocwww.com7 J' b  \( F3 Y7 H; m
修改为50 68 01 01 00 00 89 35 98 07 c3 00 E8 ED 26 E9 CB FE FF FF 90 90 —魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート- f5 I- l8 i- s5 `( j+ D+ E; v& O+ y
90 90 90 90 90 一直到4db68f都是90

第三个HOOK--地址004e1fe8
9 E9 Z. {  T" c: n# }处理方法
内存地址---00163905
修改为---A0 50 53 C3 00 E9 E3 E6 37 00 90 90妖城在线论坛& A) a2 P' s" X8 U
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表: C* o2 K3 D( a/ w: E6 E
第四个HOOK--地址004e20a0
1 |' L$ i! x/ V# j处理方法魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表! `; c. l4 X; y0 n* O# T' ^. N1 Q0 [
内存地址---001638B8
修改为---A0 08 4F C3 00 E9 E3 E7 37 00 90 90魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表8 w% }+ P9 \* C; w# b

以上4个HOOK都是和DLL无关连的~其实可以直接恢复HOOK,按照以上操作可以在不恢复HOOK的情况下让函数还原bbs.mocwww.com  {! X, j, F+ w8 D3 y

第五个HOOK--地址00433180
处理方法
内存地址---10006cc3魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表# z% s% P+ e: J9 G- j
修改为---90 90 90 90 90

这个HOOK代码里面有个CALL会跳到DLL另一地址,如果不修改直接恢复,HOOK也会存在,但游戏不会崩,后验证其实此HOOK是图档相关的修复,可不理会魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表2 U: S5 Y/ Y( x) Z/ f/ h# b

第六个HOOK--WSOCK32中RECV--地址71a42e70
8 o# Q6 r. }. R  ]$ Rbbs.mocwww.com第七个HOOK--WS2_32中的RECV--地址71A2676F

WSOCK32.recv - E9 12C45C9E          - jmp cgx_e7ml.dll+F287% q- i; n. i& K+ c* f1 M/ U7 _4 U
WSOCK32.recv+5- 51                   - push ecx& {9 {6 m3 p" |$ j  m5 u" \. ?" w
WSOCK32.recv+6- 51                   - push ecx
妖城在线论坛3 h( E) Y9 T# {' \
RECV函数头被修改前5字节,改为了JMP命令bbs.mocwww.com6 u3 S6 J: z2 f$ X

这里我们不能动这5字节,因为有矫正,只要改了或者恢复了,会掉线的
魔力私服,最新魔力宝贝私服技术交流5 W) B5 E; R+ N" e
那我们只能修改他跳转地址中的代码了bbs.mocwww.com' t/ f' V( B4 C5 {7 `2 ~) ^" \

以上两个HOOK都被指向同一个地址1000f287
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表- ]* n: M7 l1 W0 T6 Y, t- r
cgx_e7ml.dll+F287 - 56                   - push esi妖城在线论坛  S, Y. @$ G/ R2 e" S/ ~
cgx_e7ml.dll+F288 - 57                   - push edi
cgx_e7ml.dll+F289 - 53                   - push ebx
cgx_e7ml.dll+F28A - 8D 74 24 10          - lea esi,[esp+10]魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表, ?4 e% j+ ?! y. d
cgx_e7ml.dll+F28E - 83 EC 10             - sub esp,10+ G; N9 f* n) P' {2 s
cgx_e7ml.dll+F291 - 8B FC                - mov edi,esp
cgx_e7ml.dll+F293 - FC                   - cld 魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表7 i3 A4 e6 f3 z. X0 z2 z6 u( Y% w$ x
cgx_e7ml.dll+F294 - B9 04000000          - mov ecx,00000004魔力私服,最新魔力宝贝私服技术交流0 p* a6 ?+ `0 F: f* Z
cgx_e7ml.dll+F299 - F3 A5                - repe movsd 魔力私服,最新魔力宝贝私服技术交流$ h/ l! C, h0 f1 N7 s% s
cgx_e7ml.dll+F29B - E8 F2FDFFFF          - call cgx_e7ml.dll+F092
cgx_e7ml.dll+F2A0 - 5B                   - pop ebx
cgx_e7ml.dll+F2A1 - 5F                   - pop edi
cgx_e7ml.dll+F2A2 - 5E                   - pop esi
cgx_e7ml.dll+F2A3 - C2 1000             - ret 0010魔力私服,最新魔力宝贝私服技术交流. f' c; }; Y8 x1 b1 ?1 o1 ]0 J. t; J& @
妖城在线论坛6 C3 p# y3 T  C, y$ m- E
RET 10--函数调用有4参数~具体代码我就不解释了,我告诉你怎么改妖城在线论坛9 O$ {. B$ V, g) Q1 ]0 l

RECV原函数头汇编码如下4 T" Y1 l, s9 c
MOV EDI,EDI
PUSH EBP
MOV EBP,ESP妖城在线论坛6 D( f- `8 T8 f, v/ T3 I
魔力私服,最新魔力宝贝私服技术交流7 w, `' `2 _2 m1 D3 H
这就是被修改的5字节原汇编码—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート. r2 {& f7 L' [* l: y; m8 f

下面添加JMP命令调回去原函数
jmp 71a42e75魔力私服,最新魔力宝贝私服技术交流5 G4 A1 ?0 `# z: q0 B+ f
把原函数头以及JMP命令写入513135内存中妖城在线论坛/ V3 G. g' \  v1 ~- H
妖城在线论坛; ?" E% E+ w8 G. c
这个地址的具体16进制代码忘记记录下来了- -你们你自己转换了

修改的代码从1000f287开始bbs.mocwww.com  T8 T/ r9 x* h0 Q! ?
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート( W# G% B0 L* G. x) N/ W
修改为8B FF 55 8B EC E9 E4 38 A3 61魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表' @$ K% Y8 W4 Z& t) [
然后从1000fc91-fca6全部都是90
魔力私服,最新魔力宝贝私服技术交流( K" m8 k% G+ w* h' W0 j0 S
这样修改后,反挂在接受封包RECV函数中所做的所有判定全部无效了妖城在线论坛6 ?# I; J1 S3 m$ B- X4 Z
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表! H' m1 n, A# D0 W1 r( n( |
第八个HOOK--DbgUiRemoteBreakin--OD调试所需函数--7C97211C
同RECV,有矫正,不可恢复
妖城在线论坛; H# D2 P- V+ |, n! j
内存地址---10006CA8" E/ t4 p8 e$ `: P
修改方法:(由于此HOOK纯属破坏函数,所以修复的字节会比较多)魔力私服,最新魔力宝贝私服技术交流3 R: M% \8 _6 J- D, ?
E9 85 C4 50 F0
内存地址---513135
6A 08 68 68 21 97 7C E8 A3 C7 FB FF 64 A1 18 00 00 00 E9 E2 EF 45 7C
' K8 P+ x: Z' u' G6 ?
这里申明一下,为啥这里修改不像前面一样在DLL内存空间里面修改,DLL内存空间的汇编码如下
push esi魔力私服,最新魔力宝贝私服技术交流1 w6 c- x0 Z9 m4 |+ w
push edi
push ebx—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート: @; Z/ \9 n$ P; ~7 C+ L
CALL 地址忘记了- -
pop ebx
pop edi
pop esibbs.mocwww.com+ u8 G+ x9 D3 F3 v- n
ret 0010魔力私服,最新魔力宝贝私服技术交流  N+ e& C- ^3 \7 C/ J' \" h

push是压入数据于指定寄存器,而POP则是清除寄存器数据,两者对应的就是为了CALL完函数后所做的堆栈平衡,如果在这里直接修改,堆栈不平衡直接导致游戏崩溃

而CALL命令所需字节是5字节,刚好可以写个JMP,所以修改方法就有点复杂了. h! w3 i, E/ R* ^  }
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート- z, `# t  u1 {
至此函数已全部修复,但HOOK绝对没有动,矫正不出来,OD可以正常加载CG了

第九个HOOK--LoadLibraryExW--加载外部DLL所需函数--7C801AF5; Z6 n' A; ]& G' J* R; H
同RECV,有矫正,不可恢复
内存地址---10006C7D---居然破坏了8条函数头指令- -蛋疼/ A. F) H1 y! k; ?4 H, y, m* P/ v
6A 34 68 F8 E0 80 7C E8 D5 09 00 00 33 FF 89 7D D8 89 7D D4 89 7D E0 89
7D E4 8B 5D 10 E9 73 AE 7F 6C 90 90 90 90 90 90 90 90 90魔力私服,最新魔力宝贝私服技术交流( [8 e+ _* R- C" P* \
至此函数已全部修复,但HOOK绝对没有动,矫正不出来,外部DLL可正常加载,且本身
验证函数调用信息的判断已被破坏
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表7 u: o7 j1 j8 W& N! B/ X; P
第十个HOOK--SEND--发送数据的函数(封包二次加密也在这里面了)--71A24C27
! C" S6 j" Y3 @. g; }1 pbbs.mocwww.com不可恢复,由于有二次加密,如恢复则直接断线
看看跳转处汇编码~~/ M3 o4 e- }! L( k
cgx_e7ml.dll+EE94 - 56                   - push esi
cgx_e7ml.dll+EE95 - 57                   - push edi
cgx_e7ml.dll+EE96 - 53                   - push ebx妖城在线论坛. i0 H% Y* F. l* }! v
cgx_e7ml.dll+EE97 - 8D 74 24 10          - lea esi,[esp+10]bbs.mocwww.com! ^; K' u( R% e, o: U7 n0 c
cgx_e7ml.dll+EE9B - 83 EC 10             - sub esp,10bbs.mocwww.com! i% `. U: g8 _. V" @4 b& I) e
cgx_e7ml.dll+EE9E - 8B FC                - mov edi,esp
cgx_e7ml.dll+EEA0 - FC                   - cld
cgx_e7ml.dll+EEA1 - B9 04000000          - mov ecx,00000004
cgx_e7ml.dll+EEA6 - F3 A5                - repe movsd
cgx_e7ml.dll+EEA8 - E8 69F7FFFF          - call cgx_e7ml.dll+E616
cgx_e7ml.dll+EEAD - 5B                   - pop ebx
cgx_e7ml.dll+EEAE - 5F                   - pop edi
cgx_e7ml.dll+EEAF - 5E                   - pop esi魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表( G- p) [* r# F1 U) t1 R, U1 H* K
cgx_e7ml.dll+EEB0 - C2 1000             - ret 0010
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表, B$ i8 j) u  J7 \& p. ~, S( R
RET 10~~还是4参数~符合SEND函数的参数定义

参数一:套接字& [9 U2 w6 v. F8 v/ i
参数二:封包内容指针—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート! r. b8 {8 [  ]; N. Z
参数三:封包长度
参数四:FLAG=0
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表# {# f# U3 T0 ~8 W, x' @+ L
理论上PUSH这四个参数,然后CALL加密函数地址1000E616就可以调用他的加密函数
来发包了- -未看具体加密细节~也未测试这个CALL有效性- F6 ~, J/ E' J2 b

一晚上写这玩意好累~最后的SEND分析就迟点再出吧- -
魔力私服,最新魔力宝贝私服技术交流( W! T# |! ]! N' r' O8 z& |) `" [" {
并非秀技能~正如某人所言~这个可能也是没有技术含量~小白慢慢学~我承认我是小白哈~