打印

[讨论] CG-X-SEVER反挂分析(带破解--全汇编)

HOHO

妖使

Rank: 3 Rank: 3 Rank: 3

UID: 3805
精华: 2
积分: 1073
威望: 0 度

阁楼大中小发表于 2013-12-11 00:41 只看该作者

CG-X-SEVER反挂分析(带破解--全汇编)

使用软件XueTr和CE6.4驱动版妖城在线论坛5 ~6 O# @4 I& u0 u6 K0 ^

启动游戏后一共有十个HOOK~
. s' W3 T8 T4 [3 E# a8 z6 B
无驱动9 h* [1 Z8 P6 h* w" v
bbs.mocwww.com+ T- ?0 N6 _+ X/ n2 W
一个个HOOK来搞吧- -魔力私服,最新魔力宝贝私服技术交流4 [. M* S9 f* n

第一个HOOK--地址004db520
处理方法
内存地址---004db55d
修改为6A 00 EB D8 02 00 00魔力私服,最新魔力宝贝私服技术交流$ V0 D0 f& x' J

第二个HOOK--地址004db566
6 h1 U# X2 B( X5 _- J6 s处理方法
内存地址---004db696
修改为50 68 01 01 00 00 89 35 98 07 c3 00 E8 ED 26 E9 CB FE FF FF 90 90
90 90 90 90 90 一直到4db68f都是901 L4 i# l3 ~% C9 \/ C  K

第三个HOOK--地址004e1fe8bbs.mocwww.com- _8 @3 |0 M$ d' r
处理方法妖城在线论坛6 y! [" s6 V3 R! D2 Z& F4 N. ]
内存地址---00163905bbs.mocwww.com' s1 U2 ?  h5 M( ?9 |: n: i  `/ H6 y
修改为---A0 50 53 C3 00 E9 E3 E6 37 00 90 90—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート7 Y* Y/ g8 J8 u0 a2 t+ j
) C4 J, D! r3 i  y; ]6 c
第四个HOOK--地址004e20a0
处理方法妖城在线论坛) I# C$ O  b3 m0 ^) T) H9 F6 d
内存地址---001638B8bbs.mocwww.com3 ~0 @" O. f1 M
修改为---A0 08 4F C3 00 E9 E3 E7 37 00 90 90魔力私服,最新魔力宝贝私服技术交流* |9 D( D3 B1 S6 p6 P# W
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート( K% e) s. |" l- V, \. f- ~  t
以上4个HOOK都是和DLL无关连的~其实可以直接恢复HOOK,按照以上操作可以在不恢复HOOK的情况下让函数还原

第五个HOOK--地址00433180bbs.mocwww.com, m6 ^8 R4 c! T/ t
处理方法魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表+ m& B  a- K; H( M! a
内存地址---10006cc3魔力私服,最新魔力宝贝私服技术交流% j' O2 e# d. k* j
修改为---90 90 90 90 90

这个HOOK代码里面有个CALL会跳到DLL另一地址,如果不修改直接恢复,HOOK也会存在,但游戏不会崩,后验证其实此HOOK是图档相关的修复,可不理会魔力私服,最新魔力宝贝私服技术交流) S. |/ Z! o2 d  \
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表, f% u) H; C( y, F- q( }( G* s/ }
第六个HOOK--WSOCK32中RECV--地址71a42e70
第七个HOOK--WS2_32中的RECV--地址71A2676F妖城在线论坛$ b9 y' t$ D" u+ M& `* F

WSOCK32.recv - E9 12C45C9E          - jmp cgx_e7ml.dll+F287
WSOCK32.recv+5- 51                   - push ecx魔力私服,最新魔力宝贝私服技术交流) G3 F0 T& ?6 x$ `5 Y, ~
WSOCK32.recv+6- 51                   - push ecx妖城在线论坛; }8 Z1 P: E( O

RECV函数头被修改前5字节,改为了JMP命令
魔力私服,最新魔力宝贝私服技术交流& ]# i2 d' k: Z
这里我们不能动这5字节,因为有矫正,只要改了或者恢复了,会掉线的—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート% C6 k/ k4 ~2 A8 ^# k

那我们只能修改他跳转地址中的代码了魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表5 ~* `2 d2 u$ U& o4 [7 ?
bbs.mocwww.com2 ~! i: c: B$ [6 q; k  D% i
以上两个HOOK都被指向同一个地址1000f287妖城在线论坛8 H- o2 u, o- ^% [  ^: M
妖城在线论坛% j, O" i+ H7 b
cgx_e7ml.dll+F287 - 56                   - push esi
cgx_e7ml.dll+F288 - 57                   - push edi魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表7 A. X) m3 q" Z8 J2 I9 Q# X
cgx_e7ml.dll+F289 - 53                   - push ebx
cgx_e7ml.dll+F28A - 8D 74 24 10          - lea esi,[esp+10]魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表7 i/ K3 H: d+ O; H
cgx_e7ml.dll+F28E - 83 EC 10             - sub esp,10
cgx_e7ml.dll+F291 - 8B FC                - mov edi,esp魔力私服,最新魔力宝贝私服技术交流. ^/ m" G# Y+ E$ O: s* p  J
cgx_e7ml.dll+F293 - FC                   - cld 魔力私服,最新魔力宝贝私服技术交流' T/ f/ e/ e" k9 r
cgx_e7ml.dll+F294 - B9 04000000          - mov ecx,00000004
cgx_e7ml.dll+F299 - F3 A5                - repe movsd bbs.mocwww.com8 s* U( L1 V# V# o
cgx_e7ml.dll+F29B - E8 F2FDFFFF          - call cgx_e7ml.dll+F092魔力私服,最新魔力宝贝私服技术交流! c, \+ q% s) B, T; p. C6 E2 h4 g6 ^
cgx_e7ml.dll+F2A0 - 5B                   - pop ebx
cgx_e7ml.dll+F2A1 - 5F                   - pop edi
cgx_e7ml.dll+F2A2 - 5E                   - pop esi
cgx_e7ml.dll+F2A3 - C2 1000             - ret 0010魔力私服,最新魔力宝贝私服技术交流8 i1 A6 b2 T# [
魔力私服,最新魔力宝贝私服技术交流( t4 Y4 E/ d, B$ A- ~$ r' K  x% O/ R8 _
RET 10--函数调用有4参数~具体代码我就不解释了,我告诉你怎么改bbs.mocwww.com" m3 X" e# x+ U5 h2 M
) t. H. ~+ b$ w  U3 ~& K
RECV原函数头汇编码如下
MOV EDI,EDI
PUSH EBP魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表; d/ o+ \) v+ x/ S7 r, E# f0 M
MOV EBP,ESP

这就是被修改的5字节原汇编码妖城在线论坛/ W- ^: I/ U4 B1 z$ v1 U. H

下面添加JMP命令调回去原函数妖城在线论坛+ X+ G& w/ A, G3 P: f+ f3 H
jmp 71a42e75魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表7 a, W3 X; @! v9 I
把原函数头以及JMP命令写入513135内存中
魔力私服,最新魔力宝贝私服技术交流: g2 h) G# D- H( s/ F
这个地址的具体16进制代码忘记记录下来了- -你们你自己转换了魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表% Q3 [' ~! Q& C& ]1 o0 o
妖城在线论坛8 N) `, O$ u( v- `; U9 i
修改的代码从1000f287开始魔力私服,最新魔力宝贝私服技术交流% A, {& x2 O/ u+ `& T
" ^# W1 C% P+ S2 v9 j
修改为8B FF 55 8B EC E9 E4 38 A3 61  S# s  G, X4 U- `! ]+ l
然后从1000fc91-fca6全部都是90魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表& P5 A4 W4 j5 _7 i6 Q- h
妖城在线论坛* C" @! ~7 j3 a( P3 r
这样修改后,反挂在接受封包RECV函数中所做的所有判定全部无效了
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表$ _& ~7 l, u" Z* l- j6 L
第八个HOOK--DbgUiRemoteBreakin--OD调试所需函数--7C97211C妖城在线论坛/ U: [8 \6 L2 m0 {- J
同RECV,有矫正,不可恢复bbs.mocwww.com, u$ h% r  H$ m' O5 h: n" n& x

内存地址---10006CA8
修改方法:(由于此HOOK纯属破坏函数,所以修复的字节会比较多)
E9 85 C4 50 F0魔力私服,最新魔力宝贝私服技术交流& b5 s6 w# v4 t1 C. n$ a
内存地址---513135
6A 08 68 68 21 97 7C E8 A3 C7 FB FF 64 A1 18 00 00 00 E9 E2 EF 45 7C魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表/ M4 @+ b0 }* b/ M

这里申明一下,为啥这里修改不像前面一样在DLL内存空间里面修改,DLL内存空间的汇编码如下
push esi
push edi
push ebxbbs.mocwww.com& @+ G8 t( y9 ~% n6 i5 u1 l
CALL 地址忘记了- -—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート+ D9 y! I6 X9 ^; \+ j2 E1 U
pop ebx5 T1 ~1 ?) [9 x1 C- a) z/ \: }( n) I9 R
pop edi
pop esi魔力私服,最新魔力宝贝私服技术交流. K8 C+ L& F2 u* P) o9 d0 s7 ]
ret 0010- n8 r( U, J$ b1 ^% @

push是压入数据于指定寄存器,而POP则是清除寄存器数据,两者对应的就是为了CALL完函数后所做的堆栈平衡,如果在这里直接修改,堆栈不平衡直接导致游戏崩溃

而CALL命令所需字节是5字节,刚好可以写个JMP,所以修改方法就有点复杂了
魔力私服,最新魔力宝贝私服技术交流. i6 [; |+ \7 H$ r; I
至此函数已全部修复,但HOOK绝对没有动,矫正不出来,OD可以正常加载CG了
bbs.mocwww.com; @" N" k1 A3 G* }( U0 T7 t
第九个HOOK--LoadLibraryExW--加载外部DLL所需函数--7C801AF5魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表9 w* W: d+ H" }; u- o4 m# `
同RECV,有矫正,不可恢复
内存地址---10006C7D---居然破坏了8条函数头指令- -蛋疼
6A 34 68 F8 E0 80 7C E8 D5 09 00 00 33 FF 89 7D D8 89 7D D4 89 7D E0 89
7D E4 8B 5D 10 E9 73 AE 7F 6C 90 90 90 90 90 90 90 90 90魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表9 m$ a+ L) h$ W; R
至此函数已全部修复,但HOOK绝对没有动,矫正不出来,外部DLL可正常加载,且本身
验证函数调用信息的判断已被破坏魔力私服,最新魔力宝贝私服技术交流% Z/ `7 X* i6 x

第十个HOOK--SEND--发送数据的函数(封包二次加密也在这里面了)--71A24C27魔力私服,最新魔力宝贝私服技术交流  f$ o; v4 j* `/ x  B
不可恢复,由于有二次加密,如恢复则直接断线
看看跳转处汇编码~~
cgx_e7ml.dll+EE94 - 56                   - push esi
cgx_e7ml.dll+EE95 - 57                   - push edi( t! m. R( d9 \
cgx_e7ml.dll+EE96 - 53                   - push ebx魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表! I9 y" e. c% m3 |
cgx_e7ml.dll+EE97 - 8D 74 24 10          - lea esi,[esp+10]魔力私服,最新魔力宝贝私服技术交流6 A; S' x2 M6 z0 \* U: ~( j
cgx_e7ml.dll+EE9B - 83 EC 10             - sub esp,10魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表) E, N/ \% ]+ E& B  c& ^
cgx_e7ml.dll+EE9E - 8B FC                - mov edi,esp魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表, X( Z/ @+ ~0 ?$ Q' M1 B
cgx_e7ml.dll+EEA0 - FC                   - cld * g. D* L* X1 m9 a  G5 C
cgx_e7ml.dll+EEA1 - B9 04000000          - mov ecx,000000046 G" z8 }6 C& ]  o5 _% l% k
cgx_e7ml.dll+EEA6 - F3 A5                - repe movsd 魔力私服,最新魔力宝贝私服技术交流" e* h% U: m- p# F
cgx_e7ml.dll+EEA8 - E8 69F7FFFF          - call cgx_e7ml.dll+E616bbs.mocwww.com7 G' W0 A4 t7 M
cgx_e7ml.dll+EEAD - 5B                   - pop ebx
cgx_e7ml.dll+EEAE - 5F                   - pop edi
cgx_e7ml.dll+EEAF - 5E                   - pop esi
cgx_e7ml.dll+EEB0 - C2 1000             - ret 0010魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表' [1 `1 ?$ F0 @
bbs.mocwww.com1 u! E$ V" x% E8 C
RET 10~~还是4参数~符合SEND函数的参数定义魔力私服,最新魔力宝贝私服技术交流9 r. H- i* d& H- ~' {

参数一:套接字
参数二:封包内容指针妖城在线论坛; Q! }* u0 x: E; R! u
参数三:封包长度
参数四:FLAG=0

理论上PUSH这四个参数,然后CALL加密函数地址1000E616就可以调用他的加密函数6 u' ?2 E# f( `# Y; r* x
来发包了- -未看具体加密细节~也未测试这个CALL有效性妖城在线论坛" B2 N/ W8 @" ^: n
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート3 J& n/ r: n$ ], O
一晚上写这玩意好累~最后的SEND分析就迟点再出吧- -

并非秀技能~正如某人所言~这个可能也是没有技术含量~小白慢慢学~我承认我是小白哈~