妖城在线论坛 - Powered by Discuz! Board

标题: [讨论] CG-X-SEVER反挂分析(带破解--全汇编) [打印本页]

作者: HOHO 时间: 2013-12-11 00:41 标题: CG-X-SEVER反挂分析(带破解--全汇编)

使用软件XueTr和CE6.4驱动版
妖城在线论坛2 Q0 h* {( f/ S  Y8 t2 f% V
启动游戏后一共有十个HOOK~
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート1 y  E8 Y! n7 u# C/ n8 f* {
无驱动魔力私服,最新魔力宝贝私服技术交流1 D; e/ j. L8 x( B. Y3 ]

一个个HOOK来搞吧- -bbs.mocwww.com+ s0 R7 h8 I- c2 n5 r- C
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表8 H( n3 ?6 d- ?
第一个HOOK--地址004db520
处理方法
内存地址---004db55d妖城在线论坛  C$ e! c9 A0 Q% ]) I: q- G5 P& X) [3 R
修改为6A 00 EB D8 02 00 00妖城在线论坛1 Q7 P3 L; i2 S3 J9 V3 j

第二个HOOK--地址004db566
处理方法
内存地址---004db696
修改为50 68 01 01 00 00 89 35 98 07 c3 00 E8 ED 26 E9 CB FE FF FF 90 90
90 90 90 90 90 一直到4db68f都是90—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート, H/ e6 l+ M4 _& N& Z
妖城在线论坛& Q* }: G5 U' X: ?! R8 J
第三个HOOK--地址004e1fe8
处理方法魔力私服,最新魔力宝贝私服技术交流1 x. M2 B5 q8 E+ j6 {
内存地址---00163905
修改为---A0 50 53 C3 00 E9 E3 E6 37 00 90 90bbs.mocwww.com6 \2 u% J2 s1 U1 U1 p1 Y/ Y

第四个HOOK--地址004e20a0
/ \) M2 w. V7 o% D/ w) R$ K处理方法魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表; H# g. L% V0 ]
内存地址---001638B8
修改为---A0 08 4F C3 00 E9 E3 E7 37 00 90 90

以上4个HOOK都是和DLL无关连的~其实可以直接恢复HOOK,按照以上操作可以在不恢复HOOK的情况下让函数还原

第五个HOOK--地址00433180—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート( I0 Z9 U+ R4 r" O9 b# j
处理方法
内存地址---10006cc3—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート- g2 x: H4 W0 M* O1 {
修改为---90 90 90 90 90bbs.mocwww.com( ?: ]& `( P, G) _, M; D5 b; B

这个HOOK代码里面有个CALL会跳到DLL另一地址,如果不修改直接恢复,HOOK也会存在,但游戏不会崩,后验证其实此HOOK是图档相关的修复,可不理会
6 d+ j+ V5 s& D  O7 S- ^
第六个HOOK--WSOCK32中RECV--地址71a42e70魔力私服,最新魔力宝贝私服技术交流) g5 h$ L+ i0 I
第七个HOOK--WS2_32中的RECV--地址71A2676F—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート) \8 x! `. [# E
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表, r; G0 U4 M3 k7 j4 V
WSOCK32.recv - E9 12C45C9E          - jmp cgx_e7ml.dll+F287
WSOCK32.recv+5- 51                   - push ecx
WSOCK32.recv+6- 51                   - push ecx
. m/ p# \: n5 `1 M
RECV函数头被修改前5字节,改为了JMP命令魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表( b$ M  c& c; N5 V1 l1 i+ g; a) d  L0 e

这里我们不能动这5字节,因为有矫正,只要改了或者恢复了,会掉线的
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート. v5 ~- X/ G- j0 }2 G
那我们只能修改他跳转地址中的代码了魔力私服,最新魔力宝贝私服技术交流4 ]) j2 S' S- G7 r# u3 u
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート' K, m# o/ ?" H  ^
以上两个HOOK都被指向同一个地址1000f287
bbs.mocwww.com$ U$ s0 O% D# ?
cgx_e7ml.dll+F287 - 56                   - push esi妖城在线论坛+ C/ a# M- V6 _) f: V2 p  T
cgx_e7ml.dll+F288 - 57                   - push edi
cgx_e7ml.dll+F289 - 53                   - push ebx魔力私服,最新魔力宝贝私服技术交流# R. F6 |& P, Z4 l* M. t. b  o
cgx_e7ml.dll+F28A - 8D 74 24 10          - lea esi,[esp+10]bbs.mocwww.com* ?; `. z/ d. R2 @9 L. E7 d
cgx_e7ml.dll+F28E - 83 EC 10             - sub esp,10妖城在线论坛: O1 ^( K: E: e$ z, y5 [3 @8 p: }
cgx_e7ml.dll+F291 - 8B FC                - mov edi,esp魔力私服,最新魔力宝贝私服技术交流6 O3 H- m. x, K# g& p
cgx_e7ml.dll+F293 - FC                   - cld   A2 I# w4 S4 k5 l
cgx_e7ml.dll+F294 - B9 04000000          - mov ecx,00000004
cgx_e7ml.dll+F299 - F3 A5                - repe movsd
cgx_e7ml.dll+F29B - E8 F2FDFFFF          - call cgx_e7ml.dll+F092魔力私服,最新魔力宝贝私服技术交流) m' F/ j4 j- u2 i7 }. t
cgx_e7ml.dll+F2A0 - 5B                   - pop ebx魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表9 f; i' z. {1 b6 A" V0 ?
cgx_e7ml.dll+F2A1 - 5F                   - pop edi
cgx_e7ml.dll+F2A2 - 5E                   - pop esi
cgx_e7ml.dll+F2A3 - C2 1000             - ret 0010

RET 10--函数调用有4参数~具体代码我就不解释了,我告诉你怎么改
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表9 @7 s1 ]' I0 Y7 F. z( t
RECV原函数头汇编码如下
MOV EDI,EDI—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート% X, j6 E+ F. B7 H! m$ Q
PUSH EBP6 c/ s" e% t1 L) X# X$ [2 ?3 |
MOV EBP,ESP  i+ Q  G+ W. h3 c# Y
魔力私服,最新魔力宝贝私服技术交流7 U- x' l1 L0 J8 C! ^1 L# A
这就是被修改的5字节原汇编码
魔力私服,最新魔力宝贝私服技术交流7 x/ R- @9 n) i' W3 Y
下面添加JMP命令调回去原函数bbs.mocwww.com- J$ k3 P- c1 @; J! }; C1 C
jmp 71a42e75魔力私服,最新魔力宝贝私服技术交流! X  X8 c1 N4 W9 p1 _8 h
把原函数头以及JMP命令写入513135内存中
4 |+ ^  R! p# R* |2 p# N5 X
这个地址的具体16进制代码忘记记录下来了- -你们你自己转换了bbs.mocwww.com7 R0 l' u* r  J
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表) m: O  Y7 ]+ A: C
修改的代码从1000f287开始bbs.mocwww.com! F# r& M' o& r) `3 l8 s

修改为8B FF 55 8B EC E9 E4 38 A3 61bbs.mocwww.com8 z) A4 c+ T+ ^
然后从1000fc91-fca6全部都是90

这样修改后,反挂在接受封包RECV函数中所做的所有判定全部无效了—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート1 ?! S6 U( r% {! O
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表  e  P& [  F  m  ?
第八个HOOK--DbgUiRemoteBreakin--OD调试所需函数--7C97211C
& q+ P9 w$ k5 U同RECV,有矫正,不可恢复妖城在线论坛, q! t6 C) ?7 d
bbs.mocwww.com; Q2 Q/ s: P' ~! {% T% J. w
内存地址---10006CA8
修改方法:(由于此HOOK纯属破坏函数,所以修复的字节会比较多)
E9 85 C4 50 F0
内存地址---513135魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表% _6 ]3 @( r% e* D) C
6A 08 68 68 21 97 7C E8 A3 C7 FB FF 64 A1 18 00 00 00 E9 E2 EF 45 7C—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート( p( V, N" p. k/ {& m" Y

这里申明一下,为啥这里修改不像前面一样在DLL内存空间里面修改,DLL内存空间的汇编码如下
push esi
push edibbs.mocwww.com/ d: H* b+ Q% \" Q
push ebxbbs.mocwww.com, E+ J& D# H1 H* n8 L
CALL 地址忘记了- -—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート* u6 ^+ _& w" U7 {2 x9 p% }
pop ebx
pop edi
pop esi魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表( o3 W0 w2 H3 S3 ]6 Q" }
ret 0010魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表& C, {# G1 T$ s- g

push是压入数据于指定寄存器,而POP则是清除寄存器数据,两者对应的就是为了CALL完函数后所做的堆栈平衡,如果在这里直接修改,堆栈不平衡直接导致游戏崩溃bbs.mocwww.com% _0 t' L+ X+ d5 d; c/ t

而CALL命令所需字节是5字节,刚好可以写个JMP,所以修改方法就有点复杂了# T3 S- {7 V( v- S7 k; F

至此函数已全部修复,但HOOK绝对没有动,矫正不出来,OD可以正常加载CG了魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表4 d- i1 Y" R* M# ?1 i* h% B$ |

第九个HOOK--LoadLibraryExW--加载外部DLL所需函数--7C801AF5魔力私服,最新魔力宝贝私服技术交流/ y  _# Q; z( G
同RECV,有矫正,不可恢复
内存地址---10006C7D---居然破坏了8条函数头指令- -蛋疼—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート9 P7 d  o' L" ]: W* D
6A 34 68 F8 E0 80 7C E8 D5 09 00 00 33 FF 89 7D D8 89 7D D4 89 7D E0 89 bbs.mocwww.com' D/ M& j  ~" B! D- i
7D E4 8B 5D 10 E9 73 AE 7F 6C 90 90 90 90 90 90 90 90 90bbs.mocwww.com2 f: u. X5 S9 I3 s
至此函数已全部修复,但HOOK绝对没有动,矫正不出来,外部DLL可正常加载,且本身妖城在线论坛4 f* ~: `) ^) f
验证函数调用信息的判断已被破坏& }; ^: v0 ]! T- O2 G% H2 }3 l

第十个HOOK--SEND--发送数据的函数(封包二次加密也在这里面了)--71A24C27
不可恢复,由于有二次加密,如恢复则直接断线
看看跳转处汇编码~~3 f, k0 i8 i% c! `7 F8 D
cgx_e7ml.dll+EE94 - 56                   - push esi
cgx_e7ml.dll+EE95 - 57                   - push edi
cgx_e7ml.dll+EE96 - 53                   - push ebx魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表" W% P( c' @) W0 S. ?: y
cgx_e7ml.dll+EE97 - 8D 74 24 10          - lea esi,[esp+10]魔力私服,最新魔力宝贝私服技术交流4 I3 u0 H/ q9 _/ |: k5 @/ l* K
cgx_e7ml.dll+EE9B - 83 EC 10             - sub esp,10
cgx_e7ml.dll+EE9E - 8B FC                - mov edi,esp
cgx_e7ml.dll+EEA0 - FC                   - cld —魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート+ X4 ?' T) Y; O
cgx_e7ml.dll+EEA1 - B9 04000000          - mov ecx,00000004—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート$ O5 {- u& C" @; c# }
cgx_e7ml.dll+EEA6 - F3 A5                - repe movsd —魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート' ~  k6 j  r1 O6 w5 \
cgx_e7ml.dll+EEA8 - E8 69F7FFFF          - call cgx_e7ml.dll+E616—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート* O1 `* F1 c, N9 x4 S/ w
cgx_e7ml.dll+EEAD - 5B                   - pop ebx
cgx_e7ml.dll+EEAE - 5F                   - pop edi! v5 E* D- ^0 X
cgx_e7ml.dll+EEAF - 5E                   - pop esibbs.mocwww.com; ?+ i- ?# D  _  ?
cgx_e7ml.dll+EEB0 - C2 1000             - ret 0010

RET 10~~还是4参数~符合SEND函数的参数定义

参数一:套接字魔力私服,最新魔力宝贝私服技术交流; S2 {" z  \! ]+ r! c- ]/ C  m8 c+ K
参数二:封包内容指针4 |8 o( j0 J9 n, S7 |3 a! t
参数三:封包长度—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート  D7 x8 {) m; r- M. [8 }# O
参数四:FLAG=0bbs.mocwww.com# P- R: I) d9 k- |

理论上PUSH这四个参数,然后CALL加密函数地址1000E616就可以调用他的加密函数
来发包了- -未看具体加密细节~也未测试这个CALL有效性魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表* |0 c# f5 E! A7 V5 f1 k+ f# h9 w* ^
魔力私服,最新魔力宝贝私服技术交流9 Y/ `8 @. t4 ^1 n  [7 {
一晚上写这玩意好累~最后的SEND分析就迟点再出吧- -魔力私服,最新魔力宝贝私服技术交流' N$ _: x! Y+ C

并非秀技能~正如某人所言~这个可能也是没有技术含量~小白慢慢学~我承认我是小白哈~

bbs.mocwww.com; y1 f) b% f! T0 |* U _& P

[ 本帖最后由 HOHO 于 2013-12-11 00:46 编辑 ]

作者: HOHO 时间: 2013-12-11 00:46

惯例是自己的~~

作者: nj001 时间: 2013-12-11 07:43

虽然还看不懂，但是好厉害哟

作者: 小狐狸 时间: 2013-12-11 18:30

有好东西就继续发。。。。

作者: vklovevk 时间: 2013-12-12 16:58

出个视频就好了！！！！

作者: nijiechao 时间: 2015-8-27 18:08

出个视频

欢迎光临妖城在线论坛 (http://bbs.mocwww.com/)