发表于 2020-5-24 00:21:47
|
查看: 3097
|
回复: 0
植物大战僵尸这款游戏可以说是很多90后的回忆了，基本上只要是90后或多或少的都接触过，而玩游戏与制作辅助是两个概念，今天我将给大家分享一些游戏辅助方面的制作技巧，之所以使用植物大战僵尸这款游戏是因为游戏简单容易分析，且不需要考虑驱动保护版权等相应的问题，这里我会把我的分析思路分享出来，来供大家参考。https://pan.baidu.com/s/1ajoUNpq8DmYspWWkhAt-Eg 提取码：4i3y 教程大纲 提示：分析思路学会了，可以应用到任何一款游戏中，网游过驱动保护后，分析思路也是如此，此处只用于技术研究学习交流，请勿将技术用于商业游戏上，出现问题与本人无关。简单实现无限阳光 本次实验内容：通过逆向分析植物阳光数量的动态地址找到阳光的基址与偏移，从而实现每次启动游戏都能够使用基址加偏移的方式定位阳光数据，最后我们将通过使用C语言编写通用辅助实现简单的无限阳光外挂，在教程开始之前我们先来说一下为什么会有动态地址与基址的概念！#include <stdio.h>
class SunClass{
public:
int SunTime;
int SunValue;
int SunAttr;
};
int main()
{
SunClass *Sun=new SunClass;
Sun->SunValue=100;
printf("SunValue: %d\n",Sun->SunValue);
return 0;
}
植物大战僵尸：逆向分析阳光
接着我们需要让阳光发生变化，这样才可以让我们继续更加精确的确定这个局部变量在内存中的地址是多少，此处我手动种植了一颗向日葵则阳光变为了0，我们就输入0然后再次扫描，由于这款游戏比较简单，基本上经过两次筛选就能定位到阳光的内存地址了，在遍历一些大型游戏的时候，读者应该有耐心，经过多次筛查直到最终找到正确的(动态)内存地址为止。
植物大战僵尸：逆向分析阳光
观察上图13C66448地址，会发现CE显示该地址是一个灰色地址，在CE中灰色就表示是动态地址而绿色则表示基址，此处的动态地址则相当于我们上方代码中给一个类动态new开辟的内存空间的首地址，由于该地址是系统为我们动态开辟的，所以每次重启游戏该地址都会发生变化，为了能够制作外挂我们必须要找到阳光的基址。
植物大战僵尸：逆向分析阳光
上图中我们可以得知add [eax+5560],ecx这条指令是加法运算，最右侧ECX里面就是我们当前需要增加的阳光数，将ECX中的阳光数赋值给[eax+5560]这个内存地址，那么我们的阳光就会增加，此时我们需要知道EAX寄存器指向的地址是多少，CE中已经为我们分析出了EAX寄存器当前值是13C60EE8我们此时需要记下它的一级偏移5560,然后去搜索13C60EE8这个内存地址。
植物大战僵尸：逆向分析阳光
上图搜索结果可以看到有非常多的数据，那我们该如何判断应该选择那一个呢？这里就是一个技巧的问题了，我们需要尽量选择地址不同的，比如标红处的位置是我们重点关注的对象，其中13C60EE8这个内存地址就相当于我们SunClass类实例化的基地址，而5560则是阳光在类中的偏移地址，此处我们需要分析谁给EAX赋值了，直接在00FE82E8右键，查找访问地址，然后会看到以下截图内容：
植物大战僵尸：逆向分析阳光
此处会出现一大堆指令，这里也需要一个遍历技巧，我们可以排除CMP之类的对比指令，因为我们是增加阳光所以不可能出现对比的代码，此外我们需要关注操作数左侧是EAX的，因为我们要找的是谁给EAX赋值的，我们选择mov eax,[ecx+00000768]这条汇编指令，然后发现二级偏移是768,我们继续查找谁给ECX赋值的，这里直接记下ECX寄存器中的地址00FE7B80
植物大战僵尸：逆向分析阳光
继续搜索十六进制数00FE7B80如下搜索结果可以看到有绿色的地址，这些绿色的地址都属于全局变量，到此说明我们已经找到了这个阳光的基地址了，这里我们可以随意选择绿色的地址作为基址使用，此处我选择的是006A9EC0来当作基址使用，前面找到的地址每次启动游戏都会发生变化，而这个基址是永远不会变化的。
植物大战僵尸：逆向分析阳光
最后我们通过查找到的基址与偏移相加的形式，就可以定位到动态地址了，具体公式应该是阳光= [[[006a9ec0]+768]+5560]，我们可以直接在CE中添加这个指针，用于进行测试，如下图所示：
植物大战僵尸：逆向分析阳光
最后我们再来总结一下查找思路，其基址查找过程可以描述为以下流程，如果用正向的思路来理解的话应该从后向前来看，会发现正向思路来看会非常的清晰，而我们找基址则是从逆向的角度来分析，也就是从前向后来理解这个过程。 已知阳光的动态地址ECX的值就是增加的阳光 将增加值ECX赋值给 [eax+5560] 我们就得到了阳光 我们需要继续找出EAX是多少? 由第二条汇编指令可知EAX的值来自于[ecx+768]这个地址 最后我们继续跟随查找ECX里面存储的数据得到 [006A9EC0] 该数据明显属于全局数据区 最后总结出定位静态基址公式 【阳光= [[[006a9ec0]+768]+5560]】 通过编程的方式读取并修改我们的阳光数量，如下这样一段代码，它可以实现读取动态地址并修改阳光数量。#include <iostream>
#include <Windows.h>
int GetDyAddr(int Pid,int Base, int Offset[], int len)
{
int temp;
HANDLE Process;
Process = OpenProcess(PROCESS_ALL_ACCESS, false, Pid);
ReadProcessMemory(Process, (LPVOID)Base, &temp, 4, NULL);
for (int i = 0; i < len; i++)
{
if (i == len - 1)
temp += Offset[i];
else
ReadProcessMemory(Process, (LPVOID)(temp + Offset[i]), &temp, 4, NULL);
}
return temp;
}
int main()
{
int base;
int offset[3];
int PID = 5772;
base = 0x006a9ec0;
offset[0] = 0x768;
offset[1] = 0x5560;
int addr = GetDyAddr(PID, base, offset, 2);
printf("进程地址：%x\n", addr);
HANDLE Process = OpenProcess(PROCESS_ALL_ACCESS, false, PID);
WriteProcessMemory(Process, (LPVOID)addr,&PID,4,0);
}实现自动收集阳光 本次实验内容：通过阳光增加的值为切入点，找到自动收集阳光的关键判断并实现自动收集阳光，首先我们猜测当阳光出现后，我们是否会去点击，这个过程必然是由一个判断和一个时钟周期事件来控制的，那么当我们点击下落的阳光以后，则该判断条件实现，会执行收集阳光的CALL，否则的话继续执行阳光下落的过场动画，这正是正向开发的一种开发手段，此时我们也仅仅是猜测，接下来我们将去验证这个大胆的想法。
植物大战僵尸：逆向分析阳光
接着打开X64dbg附加到游戏进程，附加完成后，游戏会被X64dbg暂停运行，此时我们直接按下F12让游戏运行起来，然后按下Ctrl + G输入00430A11跳转到刚才找到的代码位置，过去以后直接F2下一个断点。
植物大战僵尸：逆向分析阳光
此时我们需要逆向思考一个问题add dword ptr ds:[eax+0x5560],ecx这条指令是在我们阳光被点击后执行的，也就是说我们已经点击了阳光现在开始赋值了，那判断阳光是否被回收肯定是在这条指令之前出现，所以我们向上找，观察代码我们不难看出执行add dword ptr ds:[eax+0x5560],ecx指令之前有一个无条件跳转jmp 0x00430A0E跳过来的。
植物大战僵尸：逆向分析阳光
继续向上查找跳转来源，可知在jmp跳转之前有一个je 0x004309EF跳转，经过测试这个地方具体控制阳光是否增加，在向上找就到段首了，此处代码中并没有出现自动收集阳光的关键跳转，因此推断这里应该是一个控制阳光是否增加的子过程(子过程：过程中调用的过程,称为子过程)，所以我们继续回朔到上一层。
植物大战僵尸：逆向分析阳光
为了能够回朔到上一层，我们需要取消阳光递增处的断点，并在段尾00430AB3处下一个F2断点防止程序跑飞，回到游戏等待阳光的出现，然后X64dbg就会断下，断下后直接取消00430AB3处的断点，执行到Ret处即可返回到上一层。
植物大战僵尸：逆向分析阳光
返回到上一层以后，可以看到我们正是在call <plantsvszombies.sub_4309D0> 这里出来的，而上方就有一个jne plantsvszombies.4313FD关键跳，此处的关键跳转也并不是控制是否回收阳光的关键跳转，而此处的代码量比较少，因此判断此处还是一个子过程，我们继续回溯到上一层。
植物大战僵尸：逆向分析阳光
我们直接单步F8运行到返回，并出这个CALL，出CALL以后会看到call <plantsvszombies.sub_430E40>没错！我们正是从这个子过程里出来的，接着向上找跳转会看到有一个jne plantsvszombies.431599此处如果将其改为jmp的话即可实现自动收集阳光，也就是说如果jne跳转实现则执行收集阳光，否则继续执行阳光下落的过场动画。
植物大战僵尸：逆向分析阳光
注意：如果我们在关键跳jne plantsvszombies.4313FD处下断点时，会发现当阳光出现后程序会被无限的断下，这说明是有一个定时器线程在不断的执行判断代码，每次都会判断你是否点击了阳光，所以X64dbg才会被一直断下。#include <stdio.h>
#include <Windows.h>
byte *ReadByteSet(DWORD Pid, DWORD Base, DWORD Size)
{
HANDLE handle = OpenProcess(PROCESS_ALL_ACCESS, 0, Pid);
byte *buf = new byte[Size];
ReadProcessMemory(handle, (LPVOID)Base, buf, Size, NULL);
return buf;
}
int main()
{
byte *Buff = new byte[10];
Buff = ReadByteSet(2232, 0x00401000, 10);
for (int i = 0; i < 10; i++)
printf("%02X ", Buff[i]);
return 0;
}#include <stdio.h>
#include <Windows.h>
BOOL WriteByteSet(DWORD Pid, DWORD Base, unsigned char *ShellCode, DWORD Size)
{
BYTE *Buff = new BYTE[Size];
memset(Buff, *ShellCode, Size);
HANDLE handle = OpenProcess(PROCESS_ALL_ACCESS, 0, Pid);
BOOL Ret = WriteProcessMemory(handle, (LPVOID)Base, Buff, Size, NULL);
if (Ret)
return TRUE;
else
return FALSE;
}
int main()
{
unsigned char shell[] = { 0x90, 0x90, 0x90, 0x90, 0x90, 0x90, 0x90, 0x90 };
BOOL temp = WriteByteSet(3772, 0x00401010, shell, 8);
return 0;
}unsigned char shell[] = { 0xEB };
BOOL temp = WriteByteSet(9744, 0x0043158F, shell, 1);寻找葵花生产速度 本次实验内容：通过CE修改器遍历出控制太阳花吐出阳光的时间变量，太阳花吐出阳光是由一个定时器控制的，首先我们找到第一个太阳花的基址与偏移，然后找出第二个太阳花的动态地址，并通过公式计算得到太阳花结构长度的相对偏移，最后我们通过C语言编程实现，遍历并修改所有图中的太阳花吐出阳光的时间，最终实现全图吐阳光。 首先种下第一个太阳花 -> 然后CE马上搜索 -> 未知的初始值 修改太阳花时钟有两种方式，第一种找到基址与偏移然后分别修改每一个定时器的时钟，第二种方式则是找到汇编跳转并进行改写，第一种方式要找植物相对偏移，首先我们先来猜测以下游戏作者会用什么方式存储不同植物的栏位。
植物大战僵尸：逆向分析阳光
如果我们按照上图中的方式进行推理，其计算每一个阳光时钟公式就可总结为如下，但真的是这样吗? X坐标下的第1个植物：基地址 + 偏移1 + 偏移2 + 768 其实并不是！经过我对具体坐标的分析，在本游戏中太阳花与太阳花之间，可能使用了一维结构体来存储的植物与植物之间的属性，每次相加偏移都会遍历到下一个植物的属性上面，也就是说无论太阳花种植到在什么位置，只要相加偏移就可以遍历到下一个植物的冷却数据，而需要遍历的次数则取决于太阳花的种植数量。
植物大战僵尸：逆向分析阳光
接着我们在第一个太阳花的旁边种植第二个太阳花，然后还是使用前面的遍历技巧找到第二个太阳花的动态地址13D652AC，找到以后我们可以猜测第一个与第二个在内存中的布局应该是连续的，所以我们可以使用13D652AC - 13D65160 = 14C此处得到的14C其实就是太阳花结构的实际长度，也可以说是两个太阳花之间的偏移值。
植物大战僵尸：逆向分析阳光
既然知道了太阳花之间的相对偏移，那么我们下一步就是来找一个固定的地址，我们在第一个太阳花地址上，右键选择查找改写地址，然后可看到0045FA48 - 83 47 58 FF - add dword ptr [edi+58],-01 << 这条汇编指令，此汇编指令乍一看是一条加法指令，但其相加的操作数是-1也就是相减，此处就是太阳花的定时器，其每次减1直到为0则吐出阳光，这里我们就可知该定时器是一个递减定时器，我们只需要记下偏移为58下一个地址是13D65108即可。
植物大战僵尸：逆向分析阳光
回到CE我们继续搜索十六进制地址13D65108然后找到偏移为AC下一个地址为13D08948
植物大战僵尸：逆向分析阳光
继续搜索13D08948得到下一个偏移数据为768,继续搜索00FE7B80
植物大战僵尸：逆向分析阳光
最终经过我们的搜索得到了一个绿色的基址00599F75 - A1 389F6A00 - mov eax,[006A9F38] <<
植物大战僵尸：逆向分析阳光
最后使用CE添加这个基地址与偏移数据来验证一下，公式为 [[[006A9F38+768]+AC]+58]] 此时我们就可以定位到第一个太阳花的动态地址了。
植物大战僵尸：逆向分析阳光
根据上面的理论，我们知道太阳花的结构体大小为14C，那么我们在第一个太阳花动态地址的基础上加上14C就可以得到第二个太阳花的动态地址。
植物大战僵尸：逆向分析阳光
既然找到了基址与偏移，接下来就是通过C语言编程实现修改全图太阳花的冷却时间，此处贴出我实现的代码.int main()
{
int base;
int offset[4];
int PID = 1292;
base = 0x006a9f38;
offset[0] = 0x768;
offset[1] = 0xac;
offset[2] = 0x58;
int addr = GetDyAddr(PID, base, offset, 3);
printf("阳光吐出动态地址：%x\n", addr);
HANDLE Process = OpenProcess(PROCESS_ALL_ACCESS, false, PID);
int SunOffset = 0;
int SunNum = 10;
while (TRUE)
{
for (int i = 0; i < 5; i++)
{
WriteProcessMemory(Process, (LPVOID)(addr + SunOffset), &SunNum, 4, NULL);
SunOffset = SunOffset + 0x14c;
printf("搞事 fuck ok\n");
}
SunOffset = 0;
Sleep(1000);
}
return 0;
}
植物大战僵尸：逆向分析阳光
上述方法，虽然可以修改达到无线吐阳光的作用，但是这种修改方式，显然是不太合理，如果图中有10个太阳花，那么我们则只能循环十次，这种效率还是太低，其实我们可以通过直接修改硬编码的方式来实现一劳永逸的效果，之所以是一劳永逸，是因为所有太阳花的吐阳光判断都是共用一个判断函数执行的，阳光的递减时钟都会走一个地方add dword ptr [edi+58],-01 我们只需要定位到这里，然后分析出阳光产生的关键键跳转并改掉其硬编码即可。
植物大战僵尸：逆向分析阳光
上图是经过测试后备注的一些细节,我们只需要将图中的0045FA7D处的指令集,替换为nop即可实现全图的植物无线吐阳光啦,其C语言修改代码如下，代码中使用了上面封装好的的写内存字节集函数。int main()
{
int PID = 3612;
unsigned char Auto[] = { 0xEB };
unsigned char Suns[] = { 0x90, 0x90, 0x90, 0x90, 0x90, 0x90 };
BOOL ret = WriteByteSet(PID, 0x0043158F, Auto, 1);
BOOL ret1 = WriteByteSet(PID, 0x0045FA7D, Suns, 6);
if (ret != 0 & ret1 != 0)
{
printf("您的向日葵已打包,请注意查收\n");
}
return 0;
}
植物大战僵尸：逆向分析阳光
寻找阳光掉落Call 本次实验内容：本次实验将接触到Call调用这个概念，什么是Call调用? Call相当于你在编程时所编写的函数，而高级语言中的函数最终也是会被编译器转换为汇编格式的Call调用，这些关键Call普遍都会存在各种参数，关于Call的作用，打个比方有些网游外挂可以实现自动寻路,自动吃药,自动打怪,甚至是全屏秒杀,这些功能是通过修改数值也无法做到的,Call就可做到。 进入游戏等待阳光出现 -> 当阳光出现后 -> 马上搜索未知初始数值 基址与偏移的找法，在文章开头就已经分享了查找的技巧，此处控制阳光掉落公式 [[[006A9F38 + 768] + 5538]] 00413B7C - 83 86 38550000 FF - add dword ptr [esi+00005538],-01 << 我们要找关键Call只需要等待阳光出现，当阳光出现后，CE会检测到一条数据 add dword ptr [esi+00005538],-01 说明此时定时器开始工作了，我们只需要记下这个内存地址00413B7C，然后关闭CE，并打开X64DBG附加到游戏。
植物大战僵尸：逆向分析阳光
打开X64DBG附加到游戏进程，然后按下ctrl+G定位到00413B7C 此时我们需要关注add dword ptr ds:[esi+0x5538],0xFFFFFFFF这条计时器指令下方，就是一个大跳转该跳转跳向了结束，那么我们可以猜测jne 0x413BF1跳过的内容很有可能就是跳过了阳光的生成过程，也就是可能跳过了阳光生成Call。
植物大战僵尸：逆向分析阳光
玩过此游戏的一定知道，游戏屏幕中不止可以掉落出阳光，还可以掉出其他的东西，比如钻石，金钱，奖牌等，那么我们有理由相信，该游戏中调用的Call应该有很多参数传递，比如掉落属性，掉落坐标，掉落类型等，而我们已经找到了阳光计时器每次递减的汇编代码，故猜测调用Call应该就在附近，向下查找发现有很多Call调用，但有一个比较特别的call 0x40CB10，之所以说它特别是因为该Call在调用之前，通过push传递了多了参数，此处很可疑，我们需要具体分析。
植物大战僵尸：逆向分析阳光
此时我们在00413BE4处下断点，然后回到游戏发现每当阳光出现的时候，此处就会断下，那么我们尝试给它传递不同的参数，例如给eax传递一个2，观察效果发现原本应该是出现阳光的地方，现在居然出现了金币。
植物大战僵尸：逆向分析阳光
经过上方的测试，发现我们猜测是合理的，那么这段代码，转换为C语言后应该是这样的:> push 0 普通掉落 push 2-3 其他掉落方式 push 4 自动收集阳光 push 6 右侧滑出掉落
> eax=2 金钱 eax=3 钻石 eax=4 普通阳光 eax=5 小的阳光 eax=6 大的阳光 eax=8 自动通关神器
sub_00413BE4(push 0= 物品飞出状态,push eax= 掉落物品,push 0x3c,push edi= 对象状态,ecx= 游戏基地址)
{
return 0;
}
植物大战僵尸：逆向分析阳光
这些调用分别是上图中的，赋值1-赋值3外加一个call 0x005AF400，程序中正是通过这种方式计算出动态数据的，我们直接将其提取出来，提取后代码如下：mov eax,226
call 0x005AF400
mov edi,eax
add edi,64
植物大战僵尸：逆向分析阳光
CE直接附加游戏，然后我们来搜索十六进制数据13DCE000然后，你懂的，就是找基址，前面已经找过很多次了。
植物大战僵尸：逆向分析阳光
通过查找访问代码，就能找到一级偏移是768，继续记下00FE4170然后回到CE继续搜索。
植物大战僵尸：逆向分析阳光
到这里基地址出来了，其公式为[6A9EC0+768]，从这里也可以看出，这应该是一个通用对象地址。
植物大战僵尸：逆向分析阳光
最后，我们整合并写出以下汇编代码，然后使用注入器注入到游戏测试。pushad
mov eax,226
call 0x005AF400
mov edi,eax
add edi,64
mov esi,dword ptr ds:[ 006a9ec0 ]
mov esi,dword ptr ds:[ esi + 768 ]
push 0
push 4
push 3c
push edi
mov ecx,esi
call 0x40cb10
popad
植物大战僵尸：逆向分析阳光
为了能够写出自己的外挂，我们需要实现一个简单的注入器，并能够通过远程的方式调用阳光生成Call，使用C语言编写如下代码即可实现注入效果，需要注意调用约定，此处我在Win10上测试没有问题，在Xp系统上会出现异常退出的情况。#include <stdio.h>
#include <Windows.h>
void AddSun()
{
__asm{
pushad
mov eax, 226
mov ebx, 0x005AF400
call ebx
mov edi, eax
add edi, 64
mov esi, dword ptr ds : [0x006a9ec0]
mov esi, dword ptr ds : [esi + 0x768]
push 0h
push 0x4
push 0x3c
push edi
mov ecx, esi
mov edx, 0x40cb10
call edx
popad
}
}
void InjectCode(DWORD dwProcId, LPVOID mFunc)
{
HANDLE hProcess,hThread;
LPVOID mFuncAddr,ParamAddr;
DWORD NumberOfByte;
hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, dwProcId);
mFuncAddr = VirtualAllocEx(hProcess, NULL, 128, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
WriteProcessMemory(hProcess, mFuncAddr, mFunc, 128, &NumberOfByte);
hThread = CreateRemoteThread(hProcess, NULL, 0, (LPTHREAD_START_ROUTINE)mFuncAddr, ParamAddr, 0, &NumberOfByte);
WaitForSingleObject(hThread, INFINITE);
VirtualFreeEx(hProcess, mFuncAddr, 128, MEM_RELEASE);
CloseHandle(hThread);
CloseHandle(hProcess);
}
int main()
{
for (int i = 0; i < 10;i++)
InjectCode(3644, AddSun);
}
温馨提示：
1.如果您喜欢这篇帖子，请给作者点赞评分，点赞会增加帖子的热度，评分会给作者加学币。(评分不会扣掉您的积分，系统每天都会重置您的评分额度)。
2.回复帖子不仅是对作者的认可，还可以获得学币奖励，请尊重他人的劳动成果，拒绝做伸手党！
3.发广告、灌水回复等违规行为一经发现直接禁言，如果本帖内容涉嫌违规，请点击论坛底部的举报反馈按钮，也可以在【
投诉建议 】板块发帖举报。
发表于 2020-5-24 00:21:47
|
查看: 3097|
回复: 0
窥视卡
雷达卡
提升卡
置顶卡
关闭卡
开启卡
变色卡
千斤顶
照妖镜