寻找CALL的教程.docVIP

寻找CALL的教程 2009-04-03 12:49 说一说一个简单的找call原理其实游戏中的call是有一定规律的，这个规律是什么？ 1、调用之前，必定有call名入栈，什么，不知道如何看堆栈有哪些内容。很简单啊，按alt＋k就看到了 2、系统进程空间，一般都可以忽略，那么，哪些是系统进程呢，我自己也分不太清，但是NTDLL，USER32，WS_S32等一般都是系统进程空间，在od的状态栏上就可以分辨出来。 举个例子：ZX中找死亡回程call 一、在弄死小号后，先下了 BP SEND指令，od中断下来，按ALT＋K，看到的堆栈情况是这样的： 地址 堆栈 函数过程 / 参数 调用来自 结构 029FFEC8WS2_32.send elementc.0057285A 029FFECC 000006BC Socket = 6BC 029FFED0 06D1F2A8 Data = 06D1F2A8 029FFED4DataSize = 3 029FFED8Flags = 0 029FFEE8 00578BE7 包含elementcelementc.00578BE4 029FFEF0elementc.00578BB0 elementc029FFF38 005785DE ? elementcelementc.005785D9 029FFF48包含elementc.005785DE elementc二、然后F9让游戏正常，再回到游戏中，按下“回城” 三、od中断下来，再按alt+K，看到的堆栈是另外一个样子了： 地址 堆栈 函数过程 / 参数 调用来自 结构 0012F3B4? elementc.005898B0 elementc0012F3C4 00583F75 ? elementcelementc.00583F70 0012F400 005A8CF6 ? elementc.00583ED0 elementc.005A8CF1 0012F410 0057E701 ? elementc.005A8CD0 elementc.0057E6FC 0012F420 00509E80 elementc.0057E6C0 elementc.00509E7B 0012F424 006C6527 包含elementc.00509E80 elementc.006C6524 0012F444 006C647C elementc.006C64B0 elementc.006C6477 0012F45C 006C8F0E 包含elementc.006C647C elementc.006C8F0B 0012F464 0054A432 elementc.006C8F00 elementc.0054A42D 0012F47C 006C236B 包含elementc.0054A432 elementc.006C2368 0012F494 006C269B elementc.006C22C0 elementc.006C2696 0012F4E0 006C93AA ? elementc.006C2380 elementc.006C93A5 0012F55C 00549BBB ? elementc.006C8F50 elementc.00549BB6 四、如果用CTRL+F9跟踪，很容易发现，前三个都是在WS32系统进程空间，所以，第4个，做了个标记的那里，就是死亡回程call了 希望大家多多实践，注意观察。也许我的这个方法有问题，也请提出来大家讨论 OD寻找CALL 希望对新手有用 关键Call的找法一直都是个不大不小让人头痛的问题，需要大量的汇编代码分析，还需要很多测试工作，当然还有一种变态的方法，那就是用OD断下后，把前前后后所有的call都测试一边，也能找到关键call，不过面对大量的call和无数次挂游戏，恐怕这个方法只能在理论上实现了。????? 那么是否有既不需要看大量的汇编代码，有能够经过有限的几个测试找到关键call的方法呢，下面我就把一种另类的找法送给和我一样的懒人和新手吧。????? 以50打坐和普通攻击的call查找为例。????? 启动OD加载50，进入游戏后，和传统方法一样，bp send下断，然后等待游戏断一次，按F9直到游戏正常运行（这里等待断一次主要是为了去掉游戏定时与服务器信息和其它信息的干扰），然后马上回到游戏，按0（默认0是打坐），游戏