追逐自己的梦想----------辅助制作第十一课：选怪功能分析

本节课中，我们要分析的是选怪功能

要实现选怪，肯定是往某个变量中写个一个值

如下：

选怪变量= XXX

首先打开ce，通过选中不同的怪物来确定地址，最后得到下面的6个地址

00182d98

00182db8

00182dc4

00187bc4

00187c10

2e21e4a8

得到这6个地址，然后通过CE中是什么访问了这个地址 可以得到如下的数据：

001F7292 - 89 55 B8  - mov [ebp-48],edx

004A66B6 - 56 - push esi

004A6AD8 - 5E - pop esi

001F72B6 - 89 55 D8  - mov [ebp-28],edx

0094F188 - 66 0F7F 01  - movdqa [ecx],xmm0

009383C8 - 89 44 8F FC  - mov [edi+ecx*4-04],eax

0098C333 - 8A 06  - mov al,[esi]

0098C337 - 88 06  - mov [esi],al

0098C3A9 - 8A 07  - mov al,[edi]

0098C3B0 - 88 07  - mov [edi],al

004E2C0F - 8B 87 B8140000  - mov eax,[edi+000014B8]

004E3D36 - 8B 87 B8140000  - mov eax,[edi+000014B8]

004E43F9 - 8B 8F B8140000  - mov ecx,[edi+000014B8]

004E4566 - 8B 87 B8140000  - mov eax,[edi+000014B8]//最有可能的地址

004E4665 - 89 81 B8140000  - mov [ecx+000014B8],eax

004E3D2A - E9 F84E0000 - jmp Client.exe+E8C27

004E3D2F - 83 3D C802F500 00 - cmp dword ptr [Client.exe+B502C8],00

004E3D36 - 8B 87 B8140000  - mov eax,[edi+000014B8] <<

004E3D3C - 89 85 D4AAFFFF  - mov [ebp-0000552C],eax

004E3D42 - 0F85 84490000 - jne Client.exe+E86CC

004E465C - 8B 46 0C  - mov eax,[esi+0C]

004E465F - 8B 0D 3C561E03  - mov ecx,[Client.exe+2DE563C]

004E4665 - 89 81 B8140000  - mov [ecx+000014B8],eax << //写入数据  很有可能的地方

004E466B - EB 2C - jmp Client.exe+E4699

004E466D - 83 BF D4140000 01 - cmp dword ptr [edi+000014D4],01

打开OD，转到这个地址  得到代码

004E4654    50              PUSH EAX

004E4655    6A 05           PUSH 0x5

004E4657    E8 04DDF9FF     CALL Client.00482360

004E465C    8B46 0C         MOV EAX,DWORD PTR DS:[ESI+0xC]

004E465F    8B0D 3C561E03   MOV ECX,DWORD PTR DS:[0x31E563C] //基址

004E4665    8981 B8140000   MOV DWORD PTR DS:[ECX+0x14B8],EAX

004E466B    EB 2C           JMP SHORT Client.004E4699

004E466D    83BF D4140000 0>CMP DWORD PTR DS:[EDI+0x14D4],0x1

004E4674    C785 FCAAFFFF F>MOV DWORD PTR SS:[EBP+0xFFFFAAFC],0xFFFF

004E467E    74 06           JE SHORT Client.004E4686

004E4680    8997 D4140000   MOV DWORD PTR DS:[EDI+0x14D4],EDX

004E4686    8B15 C088F500   MOV EDX,DWORD PTR DS:[0xF588C0]

利用dd [0x31e563c]//玩家对象的地址

+18  玩家名字5

+0x14b8 在没有选中怪物的时候为 0000FFFF

在选中怪物的时候为126A ，126E等数据    为上节课我们分析的怪物的ID

退出OD，打开ce  在ce中分析玩家选中时的状态

得到地址2EF6F8F4 

然后找到访问了这个地址的代码 

得到偏移2D0C //玩家的选中状态

然后在OD中分析上面的eax的来源

通过在004E465C    8B46 0C         MOV EAX,DWORD PTR DS:[ESI+0xC] 下断点

可以得到以下的数据

2F175F48  009F5AB0  Client.009F5AB0

2F175F4C  00000000

2F175F50  0000002E  //怪物标记2E  人物 31    技能56等

2F175F54  0000126A  //这个就应该是怪物的ID了

2F175F58  00000002

2F175F5C  000028E0

2F175F60  00000000

2F175F64  00000000

2F175F68  2ED8DF10

2F175F6C  00000000

2F175F70  00000000

2F175F74  00000000

2F175F78  00000000

2F175F7C  00000000

2F175F80  00000000

2F175F84  00000000

2F175F88  00000000

dc [45fb98c + 4*0]+320 //名字

007F13EC    890C85 88B95F04 MOV DWORD PTR DS:[EAX*4+0x45FB988],ECX

dc [45fb988 + 4*7]+320

+314 是否选中血条

+5B4  血量

+5b8 怪物等级

+1018 X

+1020 Y

+1024 X

+102c Y

在OD中分析自己的血条显示：

打开OD  dd [0x31e563c]+2d0c

修改值，可以改变选中状态，说明就是这个值

然后下个内存写入断点

004E8436    51              PUSH ECX

004E8437    6A 01           PUSH 0x1

004E8439    E8 52C21E00     CALL Client.006D4690

004E843E    8B95 00ABFFFF   MOV EDX,DWORD PTR SS:[EBP+0xFFFFAB00]

004E8444    83C4 0C         ADD ESP,0xC

004E8447    8997 0C2D0000   MOV DWORD PTR DS:[EDI+0x2D0C],EDX        ; 选中自己

004E844D    B8 01000000     MOV EAX,0x1

004E8452    E9 D0070000     JMP Client.004E8C27

004E8457    6A 05           PUSH 0x5

004E8459    DDD8            FSTP ST(0)

004E845B    E8 701D3000     CALL Client.007EA1D0

004E8460    A3 E802F500     MOV DWORD PTR DS:[0xF502E8],EAX

004E8465    83C4 04         ADD ESP,0x4

004E8468    B8 01000000     MOV EAX,0x1

004E846D    E9 B5070000     JMP Client.004E8C27

004E8472    8B97 A41F0000   MOV EDX,DWORD PTR DS:[EDI+0x1FA4]

004E8381   /74 04           JE SHORT Client.004E8387

004E8383   |6A 00           PUSH 0x0

004E8385   |EB 02           JMP SHORT Client.004E8389

004E8387   \6A 01           PUSH 0x1

004E8389    E8 12D81000     CALL Client.005F5BA0

004E838E    8B87 B8140000   MOV EAX,DWORD PTR DS:[EDI+0x14B8]

004E8394    3D FFFF0000     CMP EAX,0xFFFF

004E8399    74 1B           JE SHORT Client.004E83B6

004E839B    8B0C85 40561E03 MOV ECX,DWORD PTR DS:[EAX*4+0x31E5640]

004E83A2    85C9            TEST ECX,ECX

004E83A4    74 10           JE SHORT Client.004E83B6

004E83A6    8B11            MOV EDX,DWORD PTR DS:[ECX]

004E83A8    8B42 04         MOV EAX,DWORD PTR DS:[EDX+0x4]

004E83AB    6A 00           PUSH 0x0

004E83AD    6A 00           PUSH 0x0

004E83AF    68 50040000     PUSH 0x450

004E83B4    FFD0            CALL EAX                                 ; 取消选中

004E83B6    8B4E 0C         MOV ECX,DWORD PTR DS:[ESI+0xC]

004E83B9    6A 00           PUSH 0x0

004E83BB    898F B8140000   MOV DWORD PTR DS:[EDI+0x14B8],ECX

004E83C1    8B16            MOV EDX,DWORD PTR DS:[ESI]

004E83C3    8B42 04         MOV EAX,DWORD PTR DS:[EDX+0x4]

004E83C6    6A 01           PUSH 0x1

004E83C8    68 50040000     PUSH 0x450                               ; 选中自己

004E83CD    8BCE            MOV ECX,ESI

004E83CF    FFD0            CALL EAX

004E83D1    B8 01000000     MOV EAX,0x1

004E83D6    E9 4C080000     JMP Client.004E8C27

004E83DB    8B87 7C200000   MOV EAX,DWORD PTR DS:[EDI+0x207C]

004E83E1    DDD8            FSTP ST(0)

004E83E3    E9 3F080000     JMP Client.004E8C27

004E83E8    DDD8            FSTP ST(0)

004E83EA    3997 0C2D0000   CMP DWORD PTR DS:[EDI+0x2D0C],EDX

004E83F0    75 55           JNZ SHORT Client.004E8447

004E83F2    8B87 041D0000   MOV EAX,DWORD PTR DS:[EDI+0x1D04]

004E83F8    3B05 30561E03   CMP EAX,DWORD PTR DS:[0x31E5630]

004E83FE    0F84 C8020000   JE Client.004E86CC

004E8404    83F8 FF         CMP EAX,-0x1

004E8407    74 3E           JE SHORT Client.004E8447

004E8409    80BF 081D0000 0>CMP BYTE PTR DS:[EDI+0x1D08],0x0

004E8410    74 35           JE SHORT Client.004E8447

004E8412    83FE 02         CMP ESI,0x2

004E8415    75 30           JNZ SHORT Client.004E8447

004E8417    833D C802F500 0>CMP DWORD PTR DS:[0xF502C8],0x0

004E841E    0F85 A8020000   JNZ Client.004E86CC

004E8424    C705 C802F500 0>MOV DWORD PTR DS:[0xF502C8],0x1

004E842E    8B8F 041D0000   MOV ECX,DWORD PTR DS:[EDI+0x1D04]

004E8434    6A 00           PUSH 0x0

004E8436    51              PUSH ECX

004E8437    6A 01           PUSH 0x1

004E8439    E8 52C21E00     CALL Client.006D4690

004E843E    8B95 00ABFFFF   MOV EDX,DWORD PTR SS:[EBP+0xFFFFAB00]

004E8444    83C4 0C         ADD ESP,0xC

004E8447    8997 0C2D0000   MOV DWORD PTR DS:[EDI+0x2D0C],EDX        ; 选中自己

004E844D    B8 01000000     MOV EAX,0x1

004E8452    E9 D0070000     JMP Client.004E8C27

004E8457    6A 05           PUSH 0x5

004E8459    DDD8            FSTP ST(0)

004E845B    E8 701D3000     CALL Client.007EA1D0

004E8460    A3 E802F500     MOV DWORD PTR DS:[0xF502E8],EAX

004E8465    83C4 04         ADD ESP,0x4

004E8468    B8 01000000     MOV EAX,0x1

004E846D    E9 B5070000     JMP Client.004E8C27

004E8472    8B97 A41F0000   MOV EDX,DWORD PTR DS:[EDI+0x1FA4]

004E8478    DDD8            FSTP ST(0)

004E847A    8B87 082D0000   MOV EAX,DWORD PTR DS:[EDI+0x2D08]

004E8480    8D8D 64AAFFFF   LEA ECX,DWORD PTR SS:[EBP+0xFFFFAA64]

004E8486    8995 64AAFFFF   MOV DWORD PTR SS:[EBP+0xFFFFAA64],EDX

004E848C    8B95 00ABFFFF   MOV EDX,DWORD PTR SS:[EBP+0xFFFFAB00]

004E8492    51              PUSH ECX

004E8493    05 50020000     ADD EAX,0x250

004E8498    52              PUSH EDX

004E8499    8BCF            MOV ECX,EDI

004E849B    C785 6CAAFFFF 0>MOV DWORD PTR SS:[EBP+0xFFFFAA6C],0x1

004E84A5    C785 7CAAFFFF F>MOV DWORD PTR SS:[EBP+0xFFFFAA7C],-0x1

取消选中的汇编代码

mov edi,[0x31e563c]

MOV EAX,DWORD PTR DS:[EDI+0x14B8]

MOV ECX,DWORD PTR DS:[EAX*4+0x31E5640]

MOV EDX,DWORD PTR DS:[ECX]

MOV EAX,DWORD PTR DS:[EDX+0x4]

PUSH 0x0

PUSH 0x0

PUSH 0x450

CALL EAX

取消选怪  和选怪

mov edi,[0x31e563c]

MOV EAX,DWORD PTR DS:[EDI+0x14B8]

MOV ECX,DWORD PTR DS:[EAX*4+0x31E5640]

MOV EDX,DWORD PTR DS:[ECX]

MOV EAX,DWORD PTR DS:[EDX+0x4]

PUSH 0x0

PUSH 0x0

PUSH 0x450

CALL EAX

mov ecx,0x1274

MOV DWORD PTR DS:[EDI+0x14B8],ECX

MOV ECX,DWORD PTR DS:[EAX*4+0x31E5640]

MOV EDX,DWORD PTR DS:[ECX]

MOV EAX,DWORD PTR DS:[EDX+0x4]

PUSH 0x0

PUSH 0x1

PUSH 0x450
CALL EAX

剩下的数据封装就留到下节课来完成