冰楓論壇

標題: 技能注入call求助 [打印本頁]
作者: ningmeng    時間: 2021-11-8 01:22
標題: 技能注入call求助
上個版本有位大大新發布了一個新的技能注入的方法，但注入之後是普攻，所以我嘗試去分析他
其中有一段
call 0311ECC0
mov ebx,[eax+04]
mov ecx,[04386E60]
lea eax,[esp-0C]
push 01
push 00
push 00
push 00
push eax
push [skillid]
mov [esp-0C],00000000
push ebx
call 00A11BC0
.....省略
我認為是從這段遊戲的源碼改寫的
call 0311ECC0
cmp dword ptr [ebp-0C],00
mov eax,[eax+04]
mov [ebp-08],eax
........省略
mov ecx,[04386E60]
lea eax,[ebp-04]
push 01
push 00
push 00
push 00
push eax
mov eax,[ebp+08]
mov [ebp-04],00000000
push [eax]
push [ebp-08]
call 00A11BC0
......省略
我在想是否是技能id沒寫進去
TWMS 222.2
結合以前版上的歷史數據，我嘗試修改
mov eax,[skillid]
mov dword ptr [edi+000130E4],eax
push [edi+000130E4]
發現還是普攻，那麼就不是id沒push進去的問題。
我試著將原有的寫法，改為我認為應該是遊戲調用的寫法，但遊戲一下閃退了。
花了一段時間，我嘗試去辨認，push進去的其它值
lea eax,[esp-0C]
push 01
push 00
push 00
push 00
push eax
push [skillid]
mov [esp-0C],00000000
push ebx   // 我认为是正确的
call 00A11BC0
那麼問題應該是在[esp-0C]這裡
我想求助的是，我是否是往正確的方向上走，注入之後普攻的問題是否是[esp-0C]，注入之後是普攻的問題是什麼導致的？



作者: 麗麗    時間: 2021-11-8 09:00
本帖最後由 麗麗 於 2021-11-8 09:02 編輯

是的，我这边游戏没更新，只能给你个老版本的 更新下就可以用了
这个是根据yutsaihsieh大佬 222版本发的那个写的，hook点是随便找了个游戏中会运行到的api
  1. // TwMS v237.1 ICS SkillInjection

  3. [ENABLE]
  4. Alloc(SkillInjection_ICS_ForwardTable,1024)
  5. Alloc(temp,128)
  6. RegisterSymbol(SkillInjectionSW)
  7. Alloc(SkillInjectionSW,4)
  8. RegisterSymbol(SkillInjectionDelay)
  9. Alloc(SkillInjectionDelay,4)
  10. RegisterSymbol(Skill_Injection_ID_List)
  11. Alloc(Skill_Injection_ID_List,64)
  12. RegisterSymbol(LastSkillID)
  13. Alloc(LastSkillID,4)
  14. Alloc(Timer,4)
  15. Alloc(Count,4)
  16. RegisterSymbol(Count)
  17. Alloc(Skill_Injection_ID_Counter,4)
  18. RegisterSymbol(Skill_Injection_ID_Counter)
  19. Label(InitSkillInjection)
  20. Label(SkillInjection_ICS)
  21. Label(Chk_Status)
  22. Label(SkillInjection)
  23. Label(L1)
  24. Label(SkillInjectionExit)


  27. //--------------------------------------------------------------------------------//
  28. Skill_Injection_ID_List:
  29. //dd skillid below

  31. dd 01E84BF6        // 32001014 死神
  32. dd 01E9CEAA        // 32100010 死神契約I
  33. dd 01E9F5C1        // 32110017 死神契約II
  34. dd 01EA1CD3        // 32120019 死神契約III

  36. dd 00 //end of list
  37. //--------------------------------------------------------------------------------//

  39. SkillInjectionDelay:
  40. DD 28

  42. SkillInjectionSW:
  43. DD 1

  45. Timer:
  46. DD 0

  48. Skill_Injection_ID_Counter:
  49. DD 0

  51. temp:
  52. DD 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00

  54. SkillInjection_ICS_ForwardTable:
  55. cmp [esp],01A8A868
  56. jne USER32.ScreenToClient
  57. cmp [SkillInjectionSW],01
  58. jne USER32.ScreenToClient
  59. mov [esp],SkillInjection_ICS
  60. jmp USER32.ScreenToClient

  62. InitSkillInjection:
  63. cmp dword ptr [eax],0
  64. je SkillInjectionExit
  65. add eax,4
  66. inc [Skill_Injection_ID_Counter]
  67. jmp InitSkillInjection

  69. SkillInjection_ICS:
  70. pushad
  71. mov eax,Skill_Injection_ID_List
  72. cmp [Skill_Injection_ID_Counter],0
  73. je InitSkillInjection


  76. //------------------------------------//
  77. Chk_Status:
  78. mov eax,[041F8D30]
  79. test eax,eax
  80. je SkillInjectionExit
  81. mov eax,[050C3978]
  82. mov [LastSkillID],eax
  83. mov eax,[050BD6A0]
  84. cmp [eax+4],2
  85. jg SkillInjectionExit
  86. mov eax,[050BCAD0]
  87. mov eax,[eax+14]
  88. mov eax,[eax+000191D8+40]
  89. cmp eax,1
  90. jl SkillInjectionExit
  91. call 02E11170
  92. mov edx,eax
  93. sub edx,[Timer]
  94. cmp edx,[SkillInjectionDelay]
  95. jl SkillInjectionExit
  96. mov [Timer],eax
  97. mov ecx,[Skill_Injection_ID_Counter]
  98. mov [Count],ecx
  99. jmp SkillInjection
  100. //------------------------------------//


  103. SkillInjection:
  104. mov dword ptr [temp+08],00000000
  105. mov dword ptr [temp+10],00000000
  106. //------------------------------------
  107. mov edi,[041F8D30]
  108. mov ecx,[041F8A3C]
  109. lea eax,[temp]
  110. push eax
  111. call 03044850
  112. cmp dword ptr [temp+04],00
  113. mov eax,[eax+04]
  114. mov [temp+08],eax
  115. je L1
  116. push 00
  117. lea ecx,[temp]
  118. call 00492F70
  119. mov [temp+04],00000000
  120. //------------------------------------
  121. L1:
  122. mov ecx,[Count]
  123. dec ecx
  124. mov ecx,[Skill_Injection_ID_List+ecx*4]
  125. mov dword ptr [edi+00012368],ecx
  126. //------------------------------------
  127. mov ecx,[041F8A38]
  128. lea eax,[temp+10]
  129. push 01
  130. push 00
  131. push 00
  132. push 00
  133. push eax
  134. push [edi+00012368]
  135. mov [temp+10],00000000
  136. push [temp+08]
  137. call 009F1E50
  138. //------------------------------------
  139. push 00
  140. push 00
  141. push 00
  142. push 00
  143. push 00
  144. push 00
  145. push 01
  146. push 00
  147. push 00
  148. push 00
  149. push 00
  150. push 00
  151. push 00
  152. push 00
  153. push 00
  154. push 00
  155. push 00
  156. push 00
  157. push eax
  158. push [temp+10]
  159. mov ecx,edi
  160. call 02C4D840
  161. mov [edi+00012368],00000000
  162. dec [Count]
  163. cmp [Count],0
  164. jne SkillInjection
  165. //------------------------------------

  167. SkillInjectionExit:
  168. popad
  169. jmp 01A8A868

  171. 050BF274:
  172. DD SkillInjection_ICS_ForwardTable

  174. [DISABLE]
  175. 050BF274:
  176. DD USER32.ScreenToClient
複製代碼
作者: ningmeng    時間: 2021-11-9 01:45
讓來我試著回答我之前的問題，之前那位大大發的寫法有一點小問題，所以注入之後才會變成普攻。
既然之前的入參是 [esp - 14] , 那麼後面就不應該寫[esp - 0C]，而是[esp - 04]，並且沒有往edi中放入技能id，導致最後一個call push進去的edi裡面的技能id為0，所以最後打出來是普攻。
收穫還是很多，技能注入不會有一個標準的寫法，它可以hook任何api調用，或者更極端一點可以寫個線程調用，可以控制它的調用頻率或使用技能次數，並不是固定地一秒33次，而可以是更多次。
push 00
push 00
push 00
push 00
push 00
push 00
push ？ ？
push 00
push 00
push 00
push ？ ？
push？ ？
push 01
push 00
push 00
push 00
push 00
push 00
push ecx
push edx
mov ecx,edi
遊戲裡的源碼，問號的地方都是沒有固定值的，可以填一些別的值，也是很有趣的一個地方。


此貼終結
作者: ningmeng    時間: 2021-11-10 22:35
更新一下我的错误，堆栈里保存的第一个出参，和第二个出参的位置间隔是8，所以，在push进call里的时候，两个数字相差8即可，需要保证保存出参的内存的干净，然后将skill放进edi即可
作者: v168    時間: 2021-11-10 22:56
ningmeng 發表於 2021-11-10 22:35
更新一下我的错误，堆栈里保存的第一个出参，和第二个出参的位置间隔是8，所以，在push进call里的时候，两 ...

分析的很詳細，可惜我還是更新不出來



歡迎光臨 冰楓論壇 (https://bingfong.com/) Powered by 冰楓