86.网游逆向分析与插件开发-物品使用-物品丢弃的逆向分析与C++代码的封装

内容参考于：易道云信息技术研究院VIP课

上一个内容：物品使用的逆向分析与C++代码的封装-CSDN博客

码云地址（ui显示角色数据分支）：https://gitee.com/dye_your_fingers/sro_-ex.git

码云版本号：7563f86877c7b6033de49ed035e095a726f9d8fb

代码下载地址，在 SRO_EX 目录下，文件名为：SRO_Ex-物品丢弃的逆向分析与C++代码的封装.zip

链接：https://pan.baidu.com/s/1W-JpUcGOWbSJmMdmtMzYZg

提取码：q9n5

--来自百度网盘超级会员V4的分享

HOOK引擎，文件名为：黑兔sdk.zip

链接：https://pan.baidu.com/s/1IB-Zs6hi3yU8LC2f-8hIEw

提取码：78h8

--来自百度网盘超级会员V4的分享

以物品使用的逆向分析与C++代码的封装-CSDN博客它的代码为基础进行修改

首先还是通过上一个内容中写的，在WSASend函数上下断点，一路ctrl+f9，再按f8，找分界点。

最终可以发现，下图位置是最后的分界点，jmp之后会到，移动的话会进入移动的处理函数，使用物品的话进入使用物品的函数，丢弃物品就会去丢弃物品的函数，这里是一个关键点，0x914E98

然后在往上一层由于看不到入参，就又反了一层，然后就来到下图位置 0x8526A6，这里的入参都是写死的，然后又esi是变化的，通过断点可以看出，它是物品的索引，当前丢弃的是弓箭，工具正好处在数组下标2位置

然后为了找ecx的值从哪来的，一路往上反，然后查看ecx的值第一次出现在那，然后就重复ctrl+f9再按f8然后给上一行下断点测试，最终来到下图位置0x70D8B0

ecx它的值会在esi+7C4位置获取，然后通过esi+7C4的写入再跟

然后设置内存写入断点

然后断点放行会发现esi+7C4位置的值会变，所以必须要追一追了，因为找esi没有用了，因为esi+7C4是用来记录一个临时性的东西

然后来到下图位置，它肯定还有一个写入的地方

第二个写入位置，它的值来自于eax，eax又来自于参数

然后按ctrl+f9再按f8，来到它的上一层，然后看出它是来自于esp+14所以它一定是来自于上一层了，esp寄存器与栈有关，栈一般用来存放入参，或者局部变量

然后到这游戏掉线了重新登录，内存地址都变了，下方的图不要盯着与上方的内存地址不一样，只需要盯着分析方法。

重新登录之后来到0x852127，然后丢弃物品触发0x852127位置的断点，然后按ctrl+f9再按f8，来当上一层，然后这里它的参数来自于edi

通过x96dbg的高亮查看edi是来自于ecx，所以在此来到上一层

然后就来到了下图红框位置

然后ecx的值来自于esi，esi的值来自于一个函数返回值，下图红框里的函数

然后0xC7E420函数里是一个全局变量，所以找到了基址

由于之前掉线了，导致内存地址不一样，所以这里要测试 0x1256c38 的值对不对，然后在内存里显示它

然后发现 0x1256c38 它的值会根据鼠标移动而变化，应该是跟ui有关，不同的窗口由不同的值，把鼠标移动到丢弃物品窗口上，它俩的值是一样的

所以它不稳定，然后它就并不是我们要找的，然后对 0x1256c38 下写入断点

然后返回游戏就直接卡到下图位置了，然后它的数据又是从上一层得到的，所以还要继续往上

这里的参数是通过函数返回值得到的，然后这个位置它会不停的断下来

它 0xC8DE5E位置调用的函数的入参好像是鼠标的坐标

它的返回值也是与0x1256C38的值一样

然后把它的入参改成999999

返回值就是0，也就是没找到窗口，它的返回值应该是跟ui绑定的一个东西

它的整个逻辑，首先就是它会弹出一个确认窗口，如下图，它弹这个对话框的时候，为了保证后续的操作，所以必须要，传递一个指针给窗口（ui），传的过程，我们现在所处的位置是弹出窗口不按是它也会触发，所以现在是处于弹出窗口的过程，也就是它把指针给ui的过程，真正给的过程我们是跟踪不到，因为这个东西一定在游戏整个ui初始化的时候来跟踪的，所以现在这个地方它得的时候它也没办法得到，它也没有一个固定的方法得到，它只能通过坐标和ui的一个比对来得到这个东西

然后进入0xC7C220函数分析，第一眼看到下图红框位置，它是mov esi, dword ptr ds:[esi+4] cmpesi,deword ptr ds:[edi+4] jne 0xc7c244，这三行代码的意思是，一个链表，esi是链表首地址然后偏移4位置是下一个链表位置，然后edi+4是最后一个链表的位置，所以如果 cmp不相等jne就会执行，就会往上走，很明显是一个链表操作

上图是没找到的跳出方式，下图是找到了跳出的方式，它是通过调用一个函数，通过判断这个函数的返回值是不是0来决定的，如果不是0就跳转，是0就进入下一轮循环

然后下图红框的三行代码，它循环的过程会把esi+4位置拿出来，通过eax重新赋值，赋予的值是从edi里得到的，所以edi是下一个链表位置，这里三行代码就更加确定了这里是链表操作了，到这也就没法追了，因为到这就是遍历ui获取绑定的指针了，绑定过程要去ui初始化里找，但是现在我们要找物品的丢弃，ui初始化是另外一个东西，然后我们的丢弃功能怎么办？

现在要重新思考一下这个问题，目前想用下图 0x8526A6 位置调用的函数，找了一圈分析下来以后，这个函数是使用起来最方便的函数，但是很遗憾，这个函数我们没办法提供它的 ecx，这个使用有个解决方案，就是通过Cheat Engine搜索这个数据，看看能否通过Cheat Engine来把这个问题解决了，这个就有点没有技术含量了，附有技术含量的，数据它是存在关联的，然后不只数据存在关联，函数它也是存在关联的，假设如果这个函数我们来做的话，这个函数会属于谁？要么是物品要么是物品管理的一个结构，所以可以测试它是不是有关，之前找到的物品管理的几个类里的，上一个内容里的ecx是来自于 0x1256E3C，它俩本质上是属于同一种操作，所以可以看一下它

然后就发现 0x1256E3C 的位置的值就是我们要找的ecx，这个 0x1256E3C 是一个很稳定的值，这是第一个解决办法，这个办法需要分清楚这俩函数的作用体系，如果不是0x1256E3C，那也一定是0x1036518或0x1037D3C里的（0x1037D3C是SRO_Player我们的结构，0x1036518是我们的SRO_Res结构），如果都不属于，可以使用 Cheat Engine 搜索去解决这个问题，如果都不行，那就要用封包了（封包后面写），封包解决就非常简单了，如果就是非要跟它干那就只能去ui初始化的时候，因为前面非常清晰的看到它整个逻辑，当丢一个物品的时候会把它写入到一个结构体(应该是某个ui操作的结构体里)，这个数据得到的时候是依据坐标来得到的，最后很明显是遍历一遍一遍的找，链表只能去生成链表的地方去找，不管它是不是ui，这个链表的生成一定不是丢物品的过程，所以只能想办法去找到它整个链表生成或者初始化的过程，这里是通过一个比较简单方法，通过数据关联性来解决的，可以发现逆向依赖于关联的能力，不依赖于硬干的能力

效果图：通过自动化助手可以正常丢弃物品

CUIWnd_1.cpp文件的修改：修改了 OnBnClickedButton3函数（Button3按钮的点击事件处理函数）

// CUIWnd_1.cpp: 实现文件
//

#include "pch.h"
#include "htdMfcDll.h"
#include "CUIWnd_1.h"
#include "afxdialogex.h"
#include "extern_all.h"


// CUIWnd_1 对话框

IMPLEMENT_DYNAMIC(CUIWnd_1, CDialogEx)

CUIWnd_1::CUIWnd_1(CWnd* pParent /*=nullptr*/)
	: CDialogEx(IDD_PAGE_1, pParent)
{

}

CUIWnd_1::~CUIWnd_1()
{
}

void CUIWnd_1::DoDataExchange(CDataExchange* pDX)
{
	CDialogEx::DoDataExchange(pDX);
	DDX_Control(pDX, IDC_LIST1, lstPack);
}


BEGIN_MESSAGE_MAP(CUIWnd_1, CDialogEx)
	ON_BN_CLICKED(IDC_BUTTON1, &CUIWnd_1::OnBnClickedButton1)
	ON_BN_CLICKED(IDC_BUTTON2, &CUIWnd_1::OnBnClickedButton2)
	ON_BN_CLICKED(IDC_BUTTON3, &CUIWnd_1::OnBnClickedButton3)
END_MESSAGE_MAP()


// CUIWnd_1 消息处理程序


void CUIWnd_1::OnBnClickedButton1()
{
	// int count = _pgamebase->SRO_Control->GetPPack()->GetPackBack()->PackCount();
	CString tmp;
	// tmp.Format(L"%d", count);
	// AfxMessageBox(tmp);
	PBackPack _PackBack = _pgamebase->SRO_Control->GetPPack()->GetPackBack();

	lstPack.ResetContent();
	for (int i = 0; i < _PackBack->PackCount(); i++)
	{

		PITEM item = _PackBack->GetItem(i);
		if ((item != NULL) && (item->Type)) {
			tmp.Format(L"[%s][数量:%d][耐久:%d/%d]\n", item->GetNameByWide(), item->Count, item->Durabillty, item->MaxDurabillty);
			lstPack.AddString(tmp);
		}
	}

}


void CUIWnd_1::OnBnClickedButton2()
{
	// int count = _pgamebase->SRO_Control->GetPPack()->GetPackBack()->PackCount();
	CString tmp;
	// tmp.Format(L"%d", count);
	// AfxMessageBox(tmp);
	PEquipPack _PackBack = _pgamebase->SRO_Control->GetPPack()->GetEquipBack();

	lstPack.ResetContent();
	for (int i = 0; i < 13; i++)
	{

		PITEM item = _PackBack->GetItem((EquipType)i);
		if ((item != NULL) && (item->Type > 0)) {
			tmp.Format(L"[%s][数量:%d][耐久:%d/%d]\n", item->GetNameByWide(), item->Count, item->Durabillty, item->MaxDurabillty);
			lstPack.AddString(tmp);
		}
	}
}


void CUIWnd_1::OnBnClickedButton3()
{
	_pgamebase->SRO_Control->DropItem(3);
}

GameBase.cpp文件的修改：修改了Init函数

#include "pch.h"
#include "GameBase.h"

GameBase* _pgamebase;

void GameBase::Init()
{
	unsigned* addrRead = (unsigned*)0x1256E3C;

	SRO_Res = (PRes)0x1036518;
	SRO_Control = (PControl)addrRead[0];
	addrRead = (unsigned*)0x1037D3C;
	SRO_Player = (PAIM)addrRead[0];
	
	InitClassProc(&Res::_ReadTitle, 0x9A46C0);
	InitClassProc(&Res::_ReadItemTitle, 0x9A4640);
	InitClassProc(&Control::_NormalNotice, 0x848580);
	InitClassProc(&Control::_NetNotice, 0x844E40);
	InitClassProc(&Control::_ChatNotice, 0x844E80);
	InitClassProc(&Control::_GetPPack, 0x866140);
	InitClassProc(&Control::_UseItem, 0x85F640);
	InitClassProc(&Control::_DropItem, 0x864220);
	InitClassProc(&ITEM::_GetItemRes, 0x995800);
	InitClassProc(&Pack::_GetPackPack, 0x7722C0);
	InitClassProc(&Pack::_GetEquipPack, 0x772300);

}

void GameBase::InitClassProc(LPVOID proc_addr, unsigned value)
{
	unsigned* uWrite = (unsigned*)proc_addr;
	uWrite[0] = value;
}

GameBase::GameBase()
{
	_pgamebase = this;
	// Init();// 初始化机制，完成游戏与我们dll的对接
}

Control.cpp文件的修改：新加 DropItem函数、_DropItem初始化

#include "pch.h"
#include "Control.h"

Control::PROC Control::_GetPPack{};
Control::PROC_PSROSTR Control::_NormalNotice{};
Control::PROC_PSROSTR Control::_NetNotice{};
Control::PROC_D_PWSTR_D_D Control::_ChatNotice{};
Control::PROC_D_D_D Control::_UseItem{};
Control::PROC_D_D_D_D_D_D Control::_DropItem{};

void Control::NormalNotice(PSROSTRING _txt)
{
	(this->*_NormalNotice)(_txt);
}

void Control::NetNotice(PSROSTRING _txt)
{
	(this->*_NetNotice)(_txt);
}

/**
	type1 默认0x3
	type2 默认0x1
*/
void Control::ChatNotice(wchar_t* _txt, int color, int type1, int type2)
{
	(this->*_ChatNotice)(type1, _txt, color, type2);
}

void Control::UseItem(int index, int p1, int p2)
{
	(this->*_UseItem)(index, p1, p2);
}

void Control::DropItem(int index, int p1, int p2, int p3, int p4, int p5)
{
	(this->*_DropItem)(p1, index, p2, p3, p4, p5);
}

PPack Control::GetPPack()
{
	return (this->*_GetPPack)();
}

Control.h文件的修改：新加 PROC_D_D_D_D_D_D类型的函数指针、_DropItem函数指针变量、DropItem函数声明

#pragma once
#include "SRO_String.h"
#include "Pack.h"
typedef class Control
{
	typedef PPack (Control::* PROC)();
	typedef void (Control::* PROC_PSROSTR)(PSROSTRING);
	typedef void (Control::* PROC_D_PWSTR_D_D)(int, wchar_t*, int, int);
	typedef void (Control::* PROC_D_D_D)(int, int, int);
	typedef void (Control::* PROC_D_D_D_D_D_D)(int, int, int, int, int, int);
public:
	static PROC _GetPPack;
	static PROC_PSROSTR _NormalNotice;
	static PROC_PSROSTR _NetNotice;
	static PROC_D_PWSTR_D_D _ChatNotice;
	static PROC_D_D_D _UseItem;
	static PROC_D_D_D_D_D_D _DropItem;
public:
	void NormalNotice(PSROSTRING _txt);
	void NetNotice(PSROSTRING _txt);
	void ChatNotice(wchar_t* _txt, int color=0xFFFFAEC3, int type1=0x3, int type2=0x1);
	void UseItem(int index, int p1 = -1, int p2 = -1);
	void DropItem(int index, int p1 = 0x46, int p2 = 0, int p3 = 0, int p4 = 1, int p5 = 0);
	PPack GetPPack();
}*PControl;