【游戏分析】《灵山奇缘》发包函数

Gslab · 发表于 2018-9-28 17:43

本帖最后由 Gslab 于 2018-9-28 17:46 编辑

一个游戏我们拿来以后第一件事肯定是要去分析发包函数。因为发包函数可以给我们很多有用的信息。第一，所有的功能都可以通过发包实现。第二，发包中的参数可以获悉游戏中的数据形式，例如某些参数是类型，ID是什么样的值。第三，通过发包可以得知游戏的通讯方式是否存在漏洞，例如怪物如果死亡的时候发包，那么就有秒怪封包，秒怪功能。首先我们分别到send，sendto，WSASend 三个发包函数上下断，看是否是发包函数。send

sendto

WSASend

分别下断以后，发现都不断偶尔会断下，经过分析以后发现和我们做的发包动作无关。那么不是这3个发包函数发的包，这个游戏自己实现了发包函数。通过其他send发包的游戏我们在send内部调用更内层发包函数WSPSend的位置下断

找到更内层的发包函数
WSPSend
71384405 6A 44    push 44
71384407 68 80453871    push
713845807138440C E8 7FCFFFFF    call
7138139071384411 33FF          xor    edi, edi
71384413 897D E0       mov    dword ptr [ebp-20], edi
71384416 803D B8643B71 0>cmp    byte ptr [713B64B8], 0
7138441D 0F85 04240000 jnz
7138682771384423 393D 5C603B71 cmp    dword ptr [713B605C], edi
71384429 0F86 F8230000 jbe
71386827
7138442F FF35 88603B71 push dword ptr [713B6088]
71384435 FF15 D0123871 call dword ptr [<&API-MS-Win-Core-Pro>; kernel32.TlsGetValue7138443B 8945 D4       mov    dword ptr [ebp-2C], eax7138443E 3BC7          cmp    eax, edi
71384440 0F84 E1230000 je
71386827
当然每台电脑的地址是不同的只有在本台电脑是相同的我们重新附加灵山奇缘,跳到该地址下断  CTRL+F9返回到真正的发包函数

通过分析根据参数的性质我们分析出来这是重新实现的WSASend

此时再做任何发包动作都会断下了,当然也有心跳包。

来源：通化程序员—投稿
*转载请注明来自游戏安全实验室（GSLAB.QQ.COM）

________ · 发表于 2018-9-29 15:36

想到当初的DNF wpe封包秒怪代码

当初为了秒杀挂一学就会

。干正事怎么学都不会。。。

gongyong728125 · 发表于 2018-9-28 18:09

谢谢楼主分享，看看！

我也试着去用心 · 发表于 2018-9-28 18:31

666666666666大佬

VIP土豪什么都买 · 发表于 2018-9-28 20:31

来顶一下楼主

ldhuagood · 发表于 2018-9-28 21:03

谢谢楼主分享，看看！

谷壳宵拗 · 发表于 2018-9-28 23:50

大佬学习

waipojie123 · 发表于 2018-9-29 08:46

感谢楼主分享

为你的心加糖、 · 发表于 2018-9-29 09:05

谢谢楼主分享，看看！

华南小马哥 · 发表于 2018-9-29 09:14

66666666666666666666666

xiaowanzi52 · 发表于 2018-9-29 09:44

看见这些数字，眼睛都花了我的眼睛啊

帐号		自动登录	找回密码
密码			注册[Register]

[游戏安全] 【游戏分析】《灵山奇缘》发包函数

免费评分

本帖被以下淘专辑推荐:

免费评分