04授人以鱼不如授人以渔(send和recv调用与实现CALL篇二).doc

04授人以鱼不如授人以渔●(send和recv调用与实现 CALL篇二)======================send函数的调用==================== P: 用模拟器拿到当教程,是因为模拟器比较简单,讲一些原理方面的东西比较好.我们学习的是原理而不是方法,很多人抱怨说模拟器根本就没用,其实不然,模拟器给我们提供了学习原理最好的途径.不要只学习方法,比如说下bp send 然后返回 ,然后就急冲冲的去找游戏里的CALL,这样你会摔的很狠.你要懂得为什么要这样做,游戏是怎么调用的?算法结构如何?系统是怎么调用函数的?等等的一切,等你了解之后自然而然就会恍然大悟,当然一切的基础就是 汇编基础. ? ? ? 上回说了,游戏大部分都是用send? 或者是 WSASend? 来像服务器发送 数据的.现在封包没有加密的游戏越来越少了,可以说快绝种了,现在存在封包没有加密的游戏有? 星尘传说 (最近加入了 心跳包 )? 问鼎? 等等 *心跳包 是指 每隔一段时间 像服务器 发送一个数据 . 一般用于 验证 是否掉线 . 因为像心跳一样,每隔一段时间动一次 就比喻为 心跳包. ? 这个是我们用到的 模拟器 .? 一个服务端 一个客户端 封包 没有进行加密 ,今天 我们来找 send? CALL来达到发送 封包的目的. 老样子,打开OD 载入 下bp? send? ? 点 一下? 进入 OD开始断下 ? 堆栈窗口 显示出 send 的 函数 所需要的参数. 我们打开 MSDN 查一下 send所需要的参数 (MSDN 是微软 发布的 WINDOWS API 函数的开发手册 里面有所有 函数的解释和细说) ? send? (socket(套接字),封包数据,封包长度,标识) 这个就是send 函数所用到的 参数了 套接字: 每次跟服务器连接后 都会返回一个 类似于 端口 的一个数字? 用来双方互相通信.你可以把它想象成一个通道. 封包数据:就是 发送封包的内容 封包长度:封包内容的长度 标识: 这个无需管他,默认为 0 好了? 我们返回一层 就能看到 send函数了. ? 按照调用约定? 参数 是从? 右边开始 压入堆栈的 首先是 标识? ? 0 然后是 大小 接着是 数据内容 最后是 套接数 也就是 socket 我们在? CALL EBP? 下断 (按F2) 然后 运行 起来 点一下? 加血 就会断下来 send 相关值 是? ? 套接数 =EC 封包内容 =jx50 长度 =4 标识 =0 call 71A24C27 好了? 我们用 CALL注入器 写一个试试 ? push 40300E 这个是如何来的呢? 因为我们要发一个封包数据 但是 代码注入器 无法给内存写入 所以 我们可以用CE找 一个空白的地址 然后往里面写入我们需要的封包数据 ? 搜索 0? 会出来 一大堆 随便选一个? 然后 把? 类型改成文本? 值 改成 jx50 然后把这个地址压入到? 堆栈中? 就可以调用成功了~~? 当然 CALL之前别忘了把 send 断点给去掉 . =====================socket的调用====================== 这个时候你可能会注意到.这里 socket 的值是 EC . 如何取到这个值呢? 这个时候我们可以参考下 window 函数socket 的那部分 ? 创建 一个 通信连接 并返回 一个套接数值. 好了 我们来 找一下 这个值吧. 从模拟器我们可以看到 ,这个模拟器 在打开的时候 会连接到 服务器段.这个时候我们从 套接数下手 打开CE? 搜索? EC (此次 套接数的 值 ) ? 出来17个 ,绿色的 是 基址. 可以排除了 .因为 套接数 的地址不可能不会发生变化. 把剩余的7个都选中? 这个时候我们如何确认 7个中是我们要找的呢? ? 将? 所有的地址改成不同的值? 这个时候 我们开始断 加血. ? 断下来以后 我们发现 EC的值 变成了 EC2了 这个表明 用CE修改成 EC2的地址就是我们要找的 ? 在命令行输入? dd 009E1AE0? (每个人的地址都不一样) 就会以 地址 的形式 显示出 数据的类型 *da? 是汇编代码类型 *dc? 是 文本类型 *dx 是短行 16进制 *db 是16位显示 * 其他的我就不