打印

[讨论] CG-X-SEVER反挂分析(带破解--全汇编)

HOHO

妖使

Rank: 3 Rank: 3 Rank: 3

UID: 3805
精华: 2
积分: 1073
威望: 0 度

阁楼大中小发表于 2013-12-11 00:41 只看该作者

CG-X-SEVER反挂分析(带破解--全汇编)

使用软件XueTr和CE6.4驱动版—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート+ q: R( o8 W0 a  e

启动游戏后一共有十个HOOK~—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート3 `7 m  J5 j$ m4 N( y) V3 _
' G$ h% j6 [' U1 p, T, G" [
无驱动
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート9 M, X" I/ r, W4 z
一个个HOOK来搞吧- -bbs.mocwww.com) [; Z2 h$ N0 y

第一个HOOK--地址004db520
& `1 ~9 \- n, Q  b8 H1 i; Y处理方法
内存地址---004db55d7 T& I  j8 O5 T: L  S
修改为6A 00 EB D8 02 00 00

第二个HOOK--地址004db566
处理方法魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表% }! N+ C2 q& C9 x5 p* x/ _4 m
内存地址---004db696妖城在线论坛- L6 b/ h; _4 C" \0 O4 L1 v
修改为50 68 01 01 00 00 89 35 98 07 c3 00 E8 ED 26 E9 CB FE FF FF 90 90
90 90 90 90 90 一直到4db68f都是901 b( p# c7 q; ^5 ?+ @+ n
( a/ U$ N* g) r; X( m% o
第三个HOOK--地址004e1fe8
% A, }1 q3 K# U) ?" w" w" k" L+ z; j处理方法魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表5 C! [) \& A% Y" n0 U! d8 i, P, x
内存地址---00163905bbs.mocwww.com: J: X& V8 m) L* `
修改为---A0 50 53 C3 00 E9 E3 E6 37 00 90 90

第四个HOOK--地址004e20a0
处理方法妖城在线论坛! {/ e( Z- U4 D* G+ R
内存地址---001638B8, w) n, X5 }+ j
修改为---A0 08 4F C3 00 E9 E3 E7 37 00 90 90
妖城在线论坛- N/ E, F+ j) X* A9 `1 }
以上4个HOOK都是和DLL无关连的~其实可以直接恢复HOOK,按照以上操作可以在不恢复HOOK的情况下让函数还原

第五个HOOK--地址00433180
处理方法bbs.mocwww.com" C3 P; |3 p" P+ g. @
内存地址---10006cc3
修改为---90 90 90 90 90
/ e1 J* d9 D0 d2 H5 L
这个HOOK代码里面有个CALL会跳到DLL另一地址,如果不修改直接恢复,HOOK也会存在,但游戏不会崩,后验证其实此HOOK是图档相关的修复,可不理会

第六个HOOK--WSOCK32中RECV--地址71a42e70魔力私服,最新魔力宝贝私服技术交流: M# |+ f% d$ e2 i' n# R8 p: N1 \) P
第七个HOOK--WS2_32中的RECV--地址71A2676Fbbs.mocwww.com* K- H6 ^9 u  R4 k

WSOCK32.recv - E9 12C45C9E          - jmp cgx_e7ml.dll+F287
WSOCK32.recv+5- 51                   - push ecx
WSOCK32.recv+6- 51                   - push ecx

RECV函数头被修改前5字节,改为了JMP命令魔力私服,最新魔力宝贝私服技术交流; a' o6 y% J( H9 K
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表9 X/ V1 L: C0 N- `' o
这里我们不能动这5字节,因为有矫正,只要改了或者恢复了,会掉线的

那我们只能修改他跳转地址中的代码了魔力私服,最新魔力宝贝私服技术交流2 W: F- K, l$ j: z

以上两个HOOK都被指向同一个地址1000f287—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート) _6 W8 D9 ~) v3 i

cgx_e7ml.dll+F287 - 56                   - push esi
cgx_e7ml.dll+F288 - 57                   - push edi
cgx_e7ml.dll+F289 - 53                   - push ebx) O8 N' k* d8 V. s  o9 ^
cgx_e7ml.dll+F28A - 8D 74 24 10          - lea esi,[esp+10]# E1 Y/ |. ]5 U  Z3 O5 }+ ^
cgx_e7ml.dll+F28E - 83 EC 10             - sub esp,10魔力私服,最新魔力宝贝私服技术交流, p; V3 s+ G5 R' r  M
cgx_e7ml.dll+F291 - 8B FC                - mov edi,esp
cgx_e7ml.dll+F293 - FC                   - cld
cgx_e7ml.dll+F294 - B9 04000000          - mov ecx,00000004bbs.mocwww.com& R" W% T1 U; O7 o2 p. X6 ]( y
cgx_e7ml.dll+F299 - F3 A5                - repe movsd 魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表1 K' K. L) T2 P6 s8 \
cgx_e7ml.dll+F29B - E8 F2FDFFFF          - call cgx_e7ml.dll+F092" A  w, a9 R0 w; h" `- e5 q- P7 x
cgx_e7ml.dll+F2A0 - 5B                   - pop ebx" N5 a% v5 f( o& v
cgx_e7ml.dll+F2A1 - 5F                   - pop edibbs.mocwww.com1 b* [0 y! u: E! K% e+ g4 u
cgx_e7ml.dll+F2A2 - 5E                   - pop esi
cgx_e7ml.dll+F2A3 - C2 1000             - ret 0010

RET 10--函数调用有4参数~具体代码我就不解释了,我告诉你怎么改bbs.mocwww.com8 b! g( w. A+ O& |1 x3 I6 h" `, P

RECV原函数头汇编码如下
MOV EDI,EDI
PUSH EBP
MOV EBP,ESP

这就是被修改的5字节原汇编码
bbs.mocwww.com- T6 |. ~% P* j
下面添加JMP命令调回去原函数妖城在线论坛9 f. V0 R7 ]: U
jmp 71a42e75- ~2 z( @: Y" n) L9 M  e( n
把原函数头以及JMP命令写入513135内存中bbs.mocwww.com( u3 f/ |# E) T
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート3 r  M' y3 U$ q
这个地址的具体16进制代码忘记记录下来了- -你们你自己转换了魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表0 \: G. o) ?3 Y$ G8 R+ y( R. X6 ~2 F$ d2 C3 P

修改的代码从1000f287开始

修改为8B FF 55 8B EC E9 E4 38 A3 61
然后从1000fc91-fca6全部都是90

这样修改后,反挂在接受封包RECV函数中所做的所有判定全部无效了bbs.mocwww.com6 L+ j& {! e8 o/ k" n1 I
bbs.mocwww.com' h& C. ~% n: d' j# V: E- L" w
第八个HOOK--DbgUiRemoteBreakin--OD调试所需函数--7C97211C9 f5 v) h0 |5 ~' e( O* U
同RECV,有矫正,不可恢复
bbs.mocwww.com3 u% y6 V3 T, d; K3 V% l6 N3 h
内存地址---10006CA8—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート3 a1 ~4 _& x8 P) h, O) Z4 X3 K
修改方法:(由于此HOOK纯属破坏函数,所以修复的字节会比较多)
E9 85 C4 50 F0—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート5 ]6 V* ]1 r' R* {: n
内存地址---513135
6A 08 68 68 21 97 7C E8 A3 C7 FB FF 64 A1 18 00 00 00 E9 E2 EF 45 7C
—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート+ t' u, i* Z, @& n: h& l" K
这里申明一下,为啥这里修改不像前面一样在DLL内存空间里面修改,DLL内存空间的汇编码如下魔力私服,最新魔力宝贝私服技术交流) ^/ N, |! t. g( w
push esi
push edi
push ebx魔力私服,最新魔力宝贝私服技术交流1 v7 v- L9 c9 V) {" [% }
CALL 地址忘记了- -妖城在线论坛6 W6 [3 _6 Q' }0 y
pop ebx妖城在线论坛2 G- G* l( Q. ?$ x0 Y1 H" a* V
pop edi
pop esi: g1 e' |# o5 H& Q# h9 ^
ret 0010

push是压入数据于指定寄存器,而POP则是清除寄存器数据,两者对应的就是为了CALL完函数后所做的堆栈平衡,如果在这里直接修改,堆栈不平衡直接导致游戏崩溃
妖城在线论坛& k1 x9 Q* v9 U; A
而CALL命令所需字节是5字节,刚好可以写个JMP,所以修改方法就有点复杂了
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表8 c; C6 V  [5 a7 `6 Z
至此函数已全部修复,但HOOK绝对没有动,矫正不出来,OD可以正常加载CG了+ w" z5 ~3 ~* J9 k* a" g# K5 o
魔力私服,最新魔力宝贝私服技术交流+ L3 W. [+ s2 ?- V( v
第九个HOOK--LoadLibraryExW--加载外部DLL所需函数--7C801AF5魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表) b! t% F" g% D8 y8 c7 w& u
同RECV,有矫正,不可恢复, n" v7 ~7 R% J" V  D" ^
内存地址---10006C7D---居然破坏了8条函数头指令- -蛋疼
6A 34 68 F8 E0 80 7C E8 D5 09 00 00 33 FF 89 7D D8 89 7D D4 89 7D E0 89
7D E4 8B 5D 10 E9 73 AE 7F 6C 90 90 90 90 90 90 90 90 90
至此函数已全部修复,但HOOK绝对没有动,矫正不出来,外部DLL可正常加载,且本身
验证函数调用信息的判断已被破坏
魔力私服,最新魔力宝贝私服技术交流6 J8 ^0 b* i, X: M  U% k$ ?$ E$ u
第十个HOOK--SEND--发送数据的函数(封包二次加密也在这里面了)--71A24C27bbs.mocwww.com% K. ~( }  B4 f7 V, H0 X0 `
不可恢复,由于有二次加密,如恢复则直接断线
看看跳转处汇编码~~妖城在线论坛0 Q9 Z$ ?, F5 \3 X' m: T6 R3 y" y
cgx_e7ml.dll+EE94 - 56                   - push esi—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート8 z0 G% R3 K" A: @1 y5 V
cgx_e7ml.dll+EE95 - 57                   - push edi—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート6 F* I) e. I2 _6 m6 E4 m8 V" O
cgx_e7ml.dll+EE96 - 53                   - push ebx魔力私服,最新魔力宝贝私服技术交流* T5 X$ F8 ^# I' H; A. j
cgx_e7ml.dll+EE97 - 8D 74 24 10          - lea esi,[esp+10]
cgx_e7ml.dll+EE9B - 83 EC 10             - sub esp,10
cgx_e7ml.dll+EE9E - 8B FC                - mov edi,esp—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート/ \' P+ h8 t' t% s
cgx_e7ml.dll+EEA0 - FC                   - cld
cgx_e7ml.dll+EEA1 - B9 04000000          - mov ecx,00000004妖城在线论坛; h5 e( I$ E' O; k
cgx_e7ml.dll+EEA6 - F3 A5                - repe movsd 妖城在线论坛1 A% b; S% z6 M- E' q
cgx_e7ml.dll+EEA8 - E8 69F7FFFF          - call cgx_e7ml.dll+E616bbs.mocwww.com& v! t4 p. a: M9 C2 l
cgx_e7ml.dll+EEAD - 5B                   - pop ebxbbs.mocwww.com! P5 Q7 b" b0 l/ W
cgx_e7ml.dll+EEAE - 5F                   - pop edi妖城在线论坛* Q+ i9 \2 [: L0 f' |( B" h- s" r
cgx_e7ml.dll+EEAF - 5E                   - pop esi3 ^4 V! a+ ~  w- w% _* m( e4 M3 C
cgx_e7ml.dll+EEB0 - C2 1000             - ret 0010

RET 10~~还是4参数~符合SEND函数的参数定义
魔力私服,最新魔力私服,魔力宝贝私服,魔力宝贝私服技术,魔力宝贝私服,私服架设技术,妖城,FLASH,电影,黑客,网络,网吧,破解,入侵,注册表# i9 ?0 {" K  {& t
参数一:套接字
参数二:封包内容指针
参数三:封包长度
参数四:FLAG=0妖城在线论坛2 o/ Y) S+ s2 M$ B9 r! @

理论上PUSH这四个参数,然后CALL加密函数地址1000E616就可以调用他的加密函数0 m; L0 r: q. M0 u
来发包了- -未看具体加密细节~也未测试这个CALL有效性
bbs.mocwww.com+ |% A4 q! H& M: C0 _; [2 v3 I
一晚上写这玩意好累~最后的SEND分析就迟点再出吧- -—魔力私服,魔力宝贝私服技术,DELPHI编程,魔力寶貝, 魔力宝贝, 크로스게이트,クロスゲート5 |9 G9 z& ]: N2 J
bbs.mocwww.com& ]! ?$ n3 h6 c+ H% p  _2 |7 _
并非秀技能~正如某人所言~这个可能也是没有技术含量~小白慢慢学~我承认我是小白哈~