技能注入call求助

ningmeng

上個版本有位大大新發布了一個新的技能注入的方法，但注入之後是普攻，所以我嘗試去分析他
其中有一段
call 0311ECC0
mov ebx,[eax+04]
mov ecx,[04386E60]
lea eax,[esp-0C]
push 01
push 00
push 00
push 00
push eax
push [skillid]
mov [esp-0C],00000000
push ebx
call 00A11BC0
.....省略
我認為是從這段遊戲的源碼改寫的
call 0311ECC0
cmp dword ptr [ebp-0C],00
mov eax,[eax+04]
mov [ebp-08],eax
........省略
mov ecx,[04386E60]
lea eax,[ebp-04]
push 01
push 00
push 00
push 00
push eax
mov eax,[ebp+08]
mov [ebp-04],00000000
push [eax]
push [ebp-08]
call 00A11BC0
......省略
我在想是否是技能id沒寫進去
TwMs 222.2

• Label1:
• mov dword ptr [edi+00016660],技能代碼
• //------------------------------------
• mov ecx,[03DCF220]
• lea eax,[temp+10]
• push 01
• push 00
• push 00
• push 00
• push eax
• push [edi+00016660]
• mov [temp+10],00000000
• push [temp+08]
• call 0084ECF0
  

結合以前版上的歷史數據，我嘗試修改
mov eax,[skillid]
mov dword ptr [edi+000130E4],eax
push [edi+000130E4]
發現還是普攻，那麼就不是id沒push進去的問題。
我試著將原有的寫法，改為我認為應該是遊戲調用的寫法，但遊戲一下閃退了。
花了一段時間，我嘗試去辨認，push進去的其它值
lea eax,[esp-0C]
push 01
push 00
push 00
push 00
push eax
push [skillid]
mov [esp-0C],00000000
push ebx   // 我认为是正确的
call 00A11BC0
那麼問題應該是在[esp-0C]這裡
我想求助的是，我是否是往正確的方向上走，注入之後普攻的問題是否是[esp-0C]，注入之後是普攻的問題是什麼導致的？

麗麗

是的，我这边游戏没更新，只能给你个老版本的 更新下就可以用了
这个是根据yutsaihsieh大佬 222版本发的那个写的，hook点是随便找了个游戏中会运行到的api

1. // TwMS v237.1 ICS SkillInjection
   
2. 
   
3. [ENABLE]
   
4. Alloc(SkillInjection_ICS_ForwardTable,1024)
   
5. Alloc(temp,128)
   
6. RegisterSymbol(SkillInjectionSW)
   
7. Alloc(SkillInjectionSW,4)
   
8. RegisterSymbol(SkillInjectionDelay)
   
9. Alloc(SkillInjectionDelay,4)
   
10. RegisterSymbol(Skill_Injection_ID_List)
    
11. Alloc(Skill_Injection_ID_List,64)
    
12. RegisterSymbol(LastSkillID)
    
13. Alloc(LastSkillID,4)
    
14. Alloc(Timer,4)
    
15. Alloc(Count,4)
    
16. RegisterSymbol(Count)
    
17. Alloc(Skill_Injection_ID_Counter,4)
    
18. RegisterSymbol(Skill_Injection_ID_Counter)
    
19. Label(InitSkillInjection)
    
20. Label(SkillInjection_ICS)
    
21. Label(Chk_Status)
    
22. Label(SkillInjection)
    
23. Label(L1)
    
24. Label(SkillInjectionExit)
    
25. 
    
26. 
    
27. //--------------------------------------------------------------------------------//
    
28. Skill_Injection_ID_List:
    
29. //dd skillid below
    
30. 
    
31. dd 01E84BF6        // 32001014 死神
    
32. dd 01E9CEAA        // 32100010 死神契約I
    
33. dd 01E9F5C1        // 32110017 死神契約II
    
34. dd 01EA1CD3        // 32120019 死神契約III
    
35. 
    
36. dd 00 //end of list
    
37. //--------------------------------------------------------------------------------//
    
38. 
    
39. SkillInjectionDelay:
    
40. DD 28
    
41. 
    
42. SkillInjectionSW:
    
43. DD 1
    
44. 
    
45. Timer:
    
46. DD 0
    
47. 
    
48. Skill_Injection_ID_Counter:
    
49. DD 0
    
50. 
    
51. temp:
    
52. DD 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
    
53. 
    
54. SkillInjection_ICS_ForwardTable:
    
55. cmp [esp],01A8A868
    
56. jne USER32.ScreenToClient
    
57. cmp [SkillInjectionSW],01
    
58. jne USER32.ScreenToClient
    
59. mov [esp],SkillInjection_ICS
    
60. jmp USER32.ScreenToClient
    
61. 
    
62. InitSkillInjection:
    
63. cmp dword ptr [eax],0
    
64. je SkillInjectionExit
    
65. add eax,4
    
66. inc [Skill_Injection_ID_Counter]
    
67. jmp InitSkillInjection
    
68. 
    
69. SkillInjection_ICS:
    
70. pushad
    
71. mov eax,Skill_Injection_ID_List
    
72. cmp [Skill_Injection_ID_Counter],0
    
73. je InitSkillInjection
    
74. 
    
75. 
    
76. //------------------------------------//
    
77. Chk_Status:
    
78. mov eax,[041F8D30]
    
79. test eax,eax
    
80. je SkillInjectionExit
    
81. mov eax,[050C3978]
    
82. mov [LastSkillID],eax
    
83. mov eax,[050BD6A0]
    
84. cmp [eax+4],2
    
85. jg SkillInjectionExit
    
86. mov eax,[050BCAD0]
    
87. mov eax,[eax+14]
    
88. mov eax,[eax+000191D8+40]
    
89. cmp eax,1
    
90. jl SkillInjectionExit
    
91. call 02E11170
    
92. mov edx,eax
    
93. sub edx,[Timer]
    
94. cmp edx,[SkillInjectionDelay]
    
95. jl SkillInjectionExit
    
96. mov [Timer],eax
    
97. mov ecx,[Skill_Injection_ID_Counter]
    
98. mov [Count],ecx
    
99. jmp SkillInjection
    
100. //------------------------------------//
     
101. 
     
102. 
     
103. SkillInjection:
     
104. mov dword ptr [temp+08],00000000
     
105. mov dword ptr [temp+10],00000000
     
106. //------------------------------------
     
107. mov edi,[041F8D30]
     
108. mov ecx,[041F8A3C]
     
109. lea eax,[temp]
     
110. push eax
     
111. call 03044850
     
112. cmp dword ptr [temp+04],00
     
113. mov eax,[eax+04]
     
114. mov [temp+08],eax
     
115. je L1
     
116. push 00
     
117. lea ecx,[temp]
     
118. call 00492F70
     
119. mov [temp+04],00000000
     
120. //------------------------------------
     
121. L1:
     
122. mov ecx,[Count]
     
123. dec ecx
     
124. mov ecx,[Skill_Injection_ID_List+ecx*4]
     
125. mov dword ptr [edi+00012368],ecx
     
126. //------------------------------------
     
127. mov ecx,[041F8A38]
     
128. lea eax,[temp+10]
     
129. push 01
     
130. push 00
     
131. push 00
     
132. push 00
     
133. push eax
     
134. push [edi+00012368]
     
135. mov [temp+10],00000000
     
136. push [temp+08]
     
137. call 009F1E50
     
138. //------------------------------------
     
139. push 00
     
140. push 00
     
141. push 00
     
142. push 00
     
143. push 00
     
144. push 00
     
145. push 01
     
146. push 00
     
147. push 00
     
148. push 00
     
149. push 00
     
150. push 00
     
151. push 00
     
152. push 00
     
153. push 00
     
154. push 00
     
155. push 00
     
156. push 00
     
157. push eax
     
158. push [temp+10]
     
159. mov ecx,edi
     
160. call 02C4D840
     
161. mov [edi+00012368],00000000
     
162. dec [Count]
     
163. cmp [Count],0
     
164. jne SkillInjection
     
165. //------------------------------------
     
166. 
     
167. SkillInjectionExit:
     
168. popad
     
169. jmp 01A8A868
     
170. 
     
171. 050BF274:
     
172. DD SkillInjection_ICS_ForwardTable
     
173. 
     
174. [DISABLE]
     
175. 050BF274:
     
176. DD USER32.ScreenToClient

複製代碼

ningmeng

讓來我試著回答我之前的問題，之前那位大大發的寫法有一點小問題，所以注入之後才會變成普攻。
既然之前的入參是 [esp - 14] , 那麼後面就不應該寫[esp - 0C]，而是[esp - 04]，並且沒有往edi中放入技能id，導致最後一個call push進去的edi裡面的技能id為0，所以最後打出來是普攻。
收穫還是很多，技能注入不會有一個標準的寫法，它可以hook任何api調用，或者更極端一點可以寫個線程調用，可以控制它的調用頻率或使用技能次數，並不是固定地一秒33次，而可以是更多次。
push 00
push 00
push 00
push 00
push 00
push 00
push ？ ？
push 00
push 00
push 00
push ？ ？
push？ ？
push 01
push 00
push 00
push 00
push 00
push 00
push ecx
push edx
mov ecx,edi
遊戲裡的源碼，問號的地方都是沒有固定值的，可以填一些別的值，也是很有趣的一個地方。


此貼終結

ningmeng

更新一下我的错误，堆栈里保存的第一个出参，和第二个出参的位置间隔是8，所以，在push进call里的时候，两个数字相差8即可，需要保证保存出参的内存的干净，然后将skill放进edi即可

v168

ningmeng 發表於 2021-11-10 22:35
更新一下我的错误，堆栈里保存的第一个出参，和第二个出参的位置间隔是8，所以，在push进call里的时候，两 ...

分析的很詳細，可惜我還是更新不出來