|
| | |
如何编写外挂程序
大家好，我是zynbnba，今天教给大家的是：如何编写外挂程序
下面请看：
一、先说一下写一个外挂需要什么条件
1、熟练的C语言知识
目前的外挂大部分都是用BC或者是vc写的，拥有熟练的C语言知识是写外挂的基本条件
2、具有很强的汇编基础 一般游戏都不可能有原代码的，必须靠反汇编或者跟踪的办
法来探索其中的机理 ，所以有强的汇编基础也是必不可少的条件
3、熟练掌握跟踪和调试的工具
有了上面2个条件后，掌握一些工具也是很有必要的
跟踪的工具，softice当然是不二之选，至于反汇编的工具，我推荐用IDA PRO
这个工具反汇编出来的代码结构清晰，非常好读
如果你不具有上面的条件，还是先把基础打好，再来写外挂吧，一分耕耘，一分收获，天下没有白掉的馅饼的
二、写外挂面临的基本技术问题
1、修改进程的执行代码 要修改进程的执行代码，要先取得进程的ID,如果是由外挂程序启动，返回值里就有进程ID,
如果不是的话，
需要用findwindow找到窗口句柄，再用GetWindowProcessID取得进程ID,取得进程ID以后，就可以用
writeprocessmemory来修改进程的执行代码了，使程序按照我们的意愿来执行，石器外挂里的不遇敌、寸步遇敌
就是用这样的方法来实现的
2、截获外挂发送和接收的封包
除了通过修改代码来实现的功能以外，很多的功能都是通过修改封包来实现的，要修改封包，首先要能截获它。
第一步是要跟踪出发和收的位置，至于怎么跟踪，我以后会提到，找到位置以后，有2个办法，一是在那个位置加一
个jmp语句，跳到你的处理函数位置，处理完后，再跳回来，这种方法要求比较高，需要处理好很多事情，另一种办法
是往那个位置写条能造成例外的指令，比如int 3,然后用DebugActiveProcess调试游戏进程，这样每当游戏执行到那个
位置的时候，就会停下来，到外挂程序里面去，等外挂程序处理完以后，用ContinueDebugEvent 继续运行程序。
今天先写这么多，下回将讨论外挂的具体功能该怎么实现
今天来谈谈地址的调查问题，地址调查是写外挂中最艰辛，最富有挑战性的事情，
很多朋友问我要外挂的原程序，其实有了外挂原程序，如果你不会调查地址，还是
没用的， 原程序和地址的关系就象武学中招式与内功的关系，没有内功的招式，
只是一个花架子。而内功精深以后，任何普通的招式，都有可能化腐朽为神奇，外
挂中的地址分为两类，一类是程序地址，一类是数据地址。象石器中的双石器，真
彩，不遇敌，寸步遇敌，发送接收封包等，都属于第一类，而人物坐标，状态等，
都属于第二类。对于第一类地址，主要依靠softice来调查地址，对第二类地址，
可以用一些游戏工具，比如fpe,game expert,game master等来调查，我一直用game
expert,因为我找不到2000下能用的fpe, 各位以前用fpe改游戏的时候，没想过他
也能用来干这个吧 对于第二类数据的调查方法，大部分人都很熟习了，我就不多
说了，现在主要来谈谈第一类数据的详细调查过程，比如我们要调查发送封包的位
置，如何着手呢，客户端往服务器要发很多封包，但最简单的办法莫过从说话的封
包入手，先说一句很长的话，最好是英文，查起来方便，说完以后，用任意一种办
法进入游戏程序的进程空间（比如先用spy查出游戏程序的窗口句柄，再切换到sof
tice打入bmsg 窗口句柄 wm_lbuttondown,这样在游戏程序中一点鼠标就进入了他
的进程空间）然后用s命令查出这句话所放的内存地址，记下这个地址，在softice
中打入bpm 刚才调查到的地址，这个指令的意思是只要有访问这个内存的动作，立刻
中断，然后再切换到游戏，说一句话，你会发现softice自动中断到某一个位置了，从
这个位置跟踪下去，发送封包的位置也就不远了。 上面所说的都是针对一个全新的游
戏程序而言，如果是一个老的程序，有前辈做了大量的工作，还可以用些别的办法，
如反汇编等，来调查。以后游戏版本的更新也是如此，只要把老版本的地址位置附近的
代码记下来，去新版本的代码里面search一下，就ok了。 恩，休息一会儿，休息一会儿
我主要对外挂的技术进行分析,至于游戏里面的内部结构每个都不一样,这里就不做讲解了,我也没有那么厉害,所有的都知道,呵呵!
1 首先游戏外挂的原理
外挂现在分为好多种,比如模拟键盘的,鼠标的,修改数据包的,还有修改本地内存的,但好像没有修改服务器内存的哦,呵呵!其实修改服务器也是有办法的,只是技术太高一般人没有办法入手而已!(比如请GM去夜总会,送礼,收黑钱等等办法都可以修改服务器数据,哈哈)
修改游戏无非是修改一下本地内存的数据,或者截获api函数等等,这里我把所能想到的方法都作一个介绍,希望大家能做出很好的外挂来使游戏厂商更好的完善自己的技术.
我见到一片文章是讲魔力宝贝的理论分析,写的不错,大概是那个样子.
下来我就讲解一下技术方面的东西,以作引玉之用
2 技术分析部分
1 模拟键盘或鼠标的响应
我们一般使用UINT SendInput(
UINT nInputs, // count of input events
LPINPUT pInputs, // array of input events
int cbSize // size of structure
);api函数
第一个参数是说明第二个参数的矩阵的维数的,第二个参数包含了响应事件,这个自己填充就可以,最后是这个结构的大小,非常简单,这是最简单的方法模拟键盘鼠标了,呵呵
注意:这个函数还有个替代函数:
VOID keybd_event(
BYTE bVk, // 虚拟键码
BYTE bScan, // 扫描码
DWORD dwFlags,
ULONG_PTR dwExtraInfo // 附加键状态
);和
VOID mouse_event(
DWORD dwFlags, // motion and click options
DWORD dx, // horizontal position or change
DWORD dy, // vertical position or change
DWORD dwData, // wheel movement
ULONG_PTR dwExtraInfo // application-defined information
);
这两个函数非常简单了,我想那些按键精灵就是用的这个吧,呵呵,上面的是模拟键盘,下面的是模拟鼠标的.
这个仅仅是模拟部分,要和游戏联系起来我们还需要找到游戏的窗口才行,或者包含快捷键,就象按键精灵的那个激活键一样,我们可以用GetWindow函数来枚举窗口,也可以用Findwindow函数来查找制定的窗口(注意还有一个FindWindowEx),FindwindowEx可以找到窗口的子窗口,比如按钮,等什么东西.当游戏切换场景的时候我们可以用FindWindowEx来确定一些当前窗口的特征,从而判断是否还在这个场景,方法很多了,比如可以GetWindowInfo来确定一些东西,比如当查找不到某个按钮的时候就说明游戏场景已经切换了,等等办法.有的游戏没有控件在里面,这是对图像做坐标变换的话,这种方法就要受到限制了.这就需要我们用别的办法来辅助分析了.
至于快捷键我们要用动态连接库实现了,里面要用到hook技术了,这个也非常简单,大家可能都会了,其实就是一个全局的hook对象然后SetWindowHook就可以了,回调函数都是现成的,而且现在网上的例子多如牛毛,这个实现在外挂中已经很普遍了.如果还有谁不明白,那就去看看msdn查找SetWindowHook就可以了.
这个动态连接库的作用很大,不要低估了哦,它可以切入所有的进程空间,也就是可以加载到所有的游戏里面哦,只要用对,你会发现很有用途的!
这个需要你复习一下win32编程的基础知识了,呵呵,赶快去看书吧!
2截获消息
有些游戏的响应机制比较简单,是基于消息的,或者用什么定时器的东西,这个时候你就可以用拦截消息来实现一些有趣的功能了.
我们拦截消息使用的也是hook技术,里面包括了键盘消息,鼠标消息,系统消息,日志等,别的对我们没有什么大的用处,我们只用拦截消息的回调函数就可以了,这个不会让我写例子吧,其实这个和上面的一样,都是用SetWindowHook来写的,看看就明白了很简单的.
至于拦截了以后做什么就是你的事情了,比如在每个定时器消息里面处理一些我们的数据判断,或者在定时器里面在模拟一次定时器,那么有些数据就会处理两次,呵呵,后果嘛,不一定是好事情哦,呵呵,不过如果数据计算放在客户端的游戏就可以真的改变数据了,呵呵,试试看吧!用途还有很多,自己想也可以想出来的,呵呵!
3拦截socket包
这个技术难度要比原来的高很多哦,要有思想准备.
首先我们要替换winSock.dll或者winsock32.dll,我们写的替换函数要和原来的函数一致才行,就是说它的函数输出什么样的,我们也要输出什么样子的函数,而且参数,参数顺序都要一样才行,然后在我们的函数里面调用真正的winSock32.dll里面的函数就可以了
首先:我们可以替换动态库到系统路径
其次:我们应用程序启动的时候可以加载原有的动态库,用这个函数LoadLibary
然后定位函数入口用GetProcAddress函数获得每个真正socket函数的入口地址
当游戏进行的时候它会调用我们的动态库,然后从我们的动态库中处理完毕后才跳转到真正动态库的函数地址,这样我们就可以在里面处理自己的数据了,应该是一切数据.呵呵!
兴奋吧,拦截了数据包我们还要分析之后才能进行正确的应答,不要以为这样工作就完成了,呵呵!还早呢,等分析完毕以后我们还要仿真应答机制来和服务器通信,一个不小心就会被封号,呵呵,呜~~~~~~~~我就被封了好多啊!
分析数据才是工作量的来源呢,游戏每次升级有可能加密方式会有所改变,因此我们写外挂的人都是亡命之徒啊,被人娱乐了还不知道,呵呵!(声明我可没有赚钱,我是免费的)
好了,给大家一个不错的起点,这里有完整的替换socket源代码,呵呵!
http://www.vchelp.net/vchelp/zsrc/wsock32_sub.zip
4截获api
上面的技术如果可以灵活运用的话我们就不用截获api函数了,其实这种技术是一种补充技术.比如我们需要截获socket以外的函数作为我们的用途,我们就要用这个技术了,其实我们也可以用它直接拦截在socket中的函数,这样更直接.
现在拦截api的教程到处都是,我就不列举了,我用的比较习惯的方法是根据输入节进行拦截的,这个方法可以用到任何一种操作系统上,比如98/2000等,有些方法不是跨平台的,我不建议使用.这个技术大家可以参考windows核心编程里面的545页开始的内容来学习,如果是98系统可以用window系统奥秘那个最后一章来学习.
好了方法就是这么多了,看大家怎么运用了,其它的一些针对性的技巧这里我就不说了,要不然会有人杀了我的,呵呵!
记住每个游戏的修改方法都不一样,如果某个游戏数据处理全部在服务器端,那么你还是别写外挂了,呵呵,最多写个自动走路的外挂,哈哈!
数据分析的时候大家一定要注意,不要轻易尝试和服务器的连接,因为那有很危险,切忌!等你掌握了大量的数据分析结果以后,比较有把握了在试试,看看你的运气好不好,很有可能会成功的哦,呵呵!
其实像网金也疯狂的那种模拟客户端的程序也是不错的,很适合office的人用,就看大家产品定位了.
好了不说了,大家努力吧!切忌不要被游戏厂商招安哦,那样有损我们的形象,我们是为了让游戏做的更好而开发的,也不愿意打乱游戏的平衡,哎,好像现在不是这样了!不说了随其自然吧!
98下是可以的，但到了2000时代，不同进程间不允许互相访问了，：（
偶找了篇文章，有点参考性，如下：
===================================================
利用鼠标钩子获得Win2000密码框密码
获得Windows下的密码框密码，似乎是很多人感兴趣的话题，CSDN上问这类问题的人不计其数......这样看来，老罗也不能免俗啦，今天就让我跟大家探讨一下如何实现这一功能吧。^_^
我们知道，Windows下有一条功能很强劲的函数——SendMessage()，利用它能够实现很多意想不到的功能，例如获得密码框的密码就是其中一例。我们可以这样做：
char szPsw[255];
SendMessage(hWnd, WM_GETTEXT, 255, (LPARAM)(LPCTSTR)szPsw);
通过发送消息 WM_GETTEXT 给目标窗口句柄，我们就能够获得密码框的密码了，可是它还有一点不足，就是无法在 Win2000/WinXP
里面获得密码。这是因为 Win2000
对这个方法作了防范（当然啦，老比因为这个问题已经业界被骂死了），只要你是对其他进程进行这个操作，就会失效。呵呵，这也就是为什么很多同类的软件到了 Win2000
就死翘翘的原因。 ：）
那么是否就毫无办法了呢？当然不是！我们已经知道了失败的原因，就是不能在别的进程中使用这一函数......嗯？......聪明的你是不是已经想到了什么？
对了，只要我们能够在同一个进程中使用它，就可以实现了！如何做到"同一个进程"？呵呵，这又是一个问题。《Windows核心编程》的大牛 Jeffrey
Richter
告诉我们，实现"同一进程"的办法有很多种，例如有通过注册表来插入DLL、使用远程线程插入DLL、使用特洛伊DLL来插入DLL、通过内存映射文件插入DLL......方法真的是有很多种，它们都能实现"同一个进程"这一目的，不过老罗觉得都不太理想，例如，使用远程线程是通过
CreateRemoteThread() 来插入DLL，但是这个 CreateRemoteThread() 在MSDN中是明确指出了不能在 Win9X
中使用的，也就是说，通用性要大打折扣。所以最后我决定使用鼠标钩子函数来实现！
聪明的读者可能还会问道：为什么用鼠标钩子就能实现了？其实答案很简单，因为密码框是一个 EDIT
控件，它肯定能够接收到鼠标消息，这样，我们的鼠标钩子函数就能够注入到远程的目标进程，这时的 SendMessage()
就是跟目标进程在同一个进程里面，是可以取出密码的。而且它有个非常好的地方：就是通用性强，理论上任何一个版本的 Windows 都能使用！！（我没有 WinXP
，所以只好说"理论上"啦，请有装 XP 的朋友帮忙试试，OK？）
明白了吧？最后还有一个细节问题——密码是在鼠标钩子函数里面获得的，那么如何返回给我们的主程序？老罗的做法是把密码作为全局共享变量，这样就可以在两个进程里面共享，我们的主程序就可以输出结果啦！
说了一大通废话，希望大家不要介意。下面我给出一个完整的例子，通过鼠标钩子函数注入远程进程获得任何一个版本 Windows
的密码框密码。（呵呵，好拗口啊！啊！别扔番茄！！）
程序名称：获取密码框的密码，适用于Win9x/WinMe/Win2000/WinXP
;作者：罗聪
;日期：2002-10-8
;出处：http://www.luocong.com/（老罗的缤纷天地）
;注意事项：如欲转载，请保持本程序的完整，并注明：
;转载自"老罗的缤纷天地"（http://www.luocong.com/）
;******************************************************
.386
.model flat, stdcall
option casemap:none
include masm32includewindows.inc
include masm32includeuser32.inc
includelib masm32libuser32.lib
DllEntry proto :HINSTANCE, :DWORD, :DWORD
MouseProc proto :DWORD, :DWORD, :DWORD
GetPsw proto
InstallHook proto :DWORD
UninstallHook proto
.const
WM_MOUSEHOOK equ WM_USER + 6
;共享段：
.data?
hHook dd ?
hWnd dd ?
szPsw db 255 dup(?) ;关键语句！！！共享这个变量szPsw，以便在主程序中也能得到密码！
.data
hInstance HINSTANCE 0
.code
DllEntry proc hInst:HINSTANCE, reason:DWORD, reserved1:DWORD
.if reason == DLL_PROCESS_ATTACH
push hInst
pop hInstance
.endif
mov eax, TRUE
ret
DllEntry endp
GetPsw proc
;关键！！返回密码！（前提是密码必须放在共享段！）
lea eax, szPsw
ret
GetPsw endp
MouseProc proc uses edx nCode:DWORD, wParam:DWORD, lParam:DWORD
invoke CallNextHookEx, hHook, nCode, wParam, lParam
mov edx, lParam
assume edx: PTR MOUSEHOOKSTRUCT
;获得当前鼠标位置的窗口句柄：
invoke WindowFromPoint, [edx].pt.x, [edx].pt.y
;发送一个消息给当前窗口，获得它的标题：
invoke SendMessage, eax, WM_GETTEXT, 255, addr szPsw
;发送一个消息给主程序，以便在主程序中能处理鼠标钩子函数：
invoke PostMessage, hWnd, WM_MOUSEHOOK, 0, 0
assume edx: nothing
xor eax, eax
ret
MouseProc endp
InstallHook proc hwnd:DWORD
;启动鼠标钩子函数：
push hwnd
pop hWnd
invoke SetWindowsHookEx, WH_MOUSE, addr MouseProc, hInstance, NULL
mov hHook, eax
ret
InstallHook endp
UninstallHook proc
;卸载鼠标钩子函数：
invoke UnhookWindowsHookEx, hHook
ret
UninstallHook endp
end DllEntry
;******************** over ********************
;by LC
编译这个DLL的时候记住要这样：（否则会失败哦！）
ml /c /coff HookDll.asm
link /section:.bss,S /DLL /subsystem:windows /def:HookDll.def HookDll.obj
---------- 主程序调用 ----------
文件名： GetPsw.asm
-------------------------------
;******************************************************
;程序名称：获取密码框的密码，适用于Win9x/WinMe/Win2000/WinXP
;作者：罗聪
;日期：2002-10-8
;出处：http://www.luocong.com/（老罗的缤纷天地）
;注意事项：如欲转载，请保持本程序的完整，并注明：
;转载自"老罗的缤纷天地"（http://www.luocong.com/）
;******************************************************
.386
.model flat, stdcall
option casemap:none
include masm32includewindows.inc
include masm32includekernel32.inc
include masm32includeuser32.inc
include HookDll.inc
includelib masm32libkernel32.lib
includelib masm32libuser32.lib
includelib HookDll.lib
WndProc proto :DWORD, :DWORD, :DWORD, :DWORD
.const
IDC_EDIT_OUTPUT equ 3000
WM_MOUSEHOOK equ WM_USER + 6
.data
szDlgName db "lc_dialog", 0
szPsw db 255 dup(0)
.code
main:
invoke GetModuleHandle, NULL
invoke DialogBoxParam, eax, offset szDlgName, 0, WndProc, 0
invoke ExitProcess, eax
WndProc proc hWnd:HWND, uMsg:UINT, wParam:WPARAM, lParam:LPARAM
LOCAL rect: RECT
.if uMsg == WM_CLOSE
;卸载鼠标钩子：
invoke UninstallHook
invoke EndDialog, hWnd, 0
.elseif uMsg == WM_INITDIALOG
;获得主程序的rect：
invoke GetWindowRect, hWnd, addr rect
;把主程序设置成"始终在最前面"：
invoke SetWindowPos, hWnd, HWND_TOPMOST, rect.left, rect.top, rect.right,
rect.bottom, SWP_SHOWWINDOW
;鼠标钩子函数启动：
invoke InstallHook, hWnd
;处理鼠标钩子函数的消息：
.elseif uMsg == WM_MOUSEHOOK
;获得密码：
invoke GetPsw
;输出：
invoke SetDlgItemText, hWnd, IDC_EDIT_OUTPUT, eax
.else
mov eax, FALSE
ret
.endif
mov eax, TRUE
ret
WndProc endp
end main
;******************** over ********************
;by LC
---------- 主程序的资源文件 ----------
文件名： GetPsw.rc
-------------------------------------
#include "resource.h"
#define IDC_EDIT_OUTPUT 3000
#define IDC_STATIC -1
LC_DIALOG DIALOGEX 0, 0, 195, 30
STYLE DS_SETFONT | WS_MINIMIZEBOX | WS_VISIBLE | WS_CAPTION | WS_SYSMENU
CAPTION "Get Password by LC, 2002-10-8"
FONT 9, "宋体", 0, 0, 0x0
BEGIN
LTEXT "看看有什么：", IDC_STATIC, 5, 12, 50, 12
EDITTEXT IDC_EDIT_OUTPUT, 60, 10, 130, 12, ES_AUTOHSCROLL | NOT WS_BORDER,
WS_EX_STATICEDGE
END
怎么样？看明白了吗？如果你还不太懂得鼠标钩子函数的编写，请先参考 Iczelion 的教程，到处都有哦！假如还有什么疑问，那是
-------------------------------------------------------------------------------
这两个程序是应广大网友的要求写的。
其中网络封包的拦截源代码可以作为是我的游戏外挂分析那篇文章的例子讲解吧。封包的分析要看经验了，这里不好多讲，如果仔细分析的话可能会讲1000页以上的内容，一般的分析大家可以用通用加密和解密算法来试试，如果不行的话那就是商家自己的加密算法，这就比较难办了，根据经验自己试试吧，比如同时放大缩小数据，看看有没有匹配字符串，异或一个自己的编码库等等，查看有没有明文结果，总之这些都是非常随机的，所以你分析出来了一个，但不一定可以分析出另外一个的，呵呵！祝大家好运！！
http://www.csdn.net/cnshare/soft/14/14675.shtm
下来那个是一个mpeg的网络流媒体播放程序，别的格式大家自己研究，可以看看我的专栏里面的directshow
中的注册文件类型(定位文件类型)的文章，那个就是告诉大家怎样确定一个文件的文件格式，和网络播放一个道理，要预读一定的数据，比如mpeg的识别数据段在开始部位，avi的会跳到很多地方等等，因此修改这个例子是很容易的，这里就不多说了。
这个不是动态链接库的形式，大家可以随便使用，但希望可以在源程序里面保留作者信息，谢谢！
http://www.csdn.net/cnshare/soft/14/14674.shtm
最近没有时间，游戏外挂分析我暂停一段时间在继续写吧，到时候我给大家做一个网络游戏登录的例子让大家明白大概过程。
外挂技术站外挂制作教程——奇迹瞬移的实现
【软件相关】
下载页面： 各大网站均有下载
软件大小： 不确定
软件语言： 简体中文
软件类别： 游戏软件 / 共享版
应用平台： Win9x/NT/2000/XP
【调试环境】：WinXP、Ollydbg V1.10、金山游侠V
—————————————————————————————————
【数据跟踪】：
先来分析一下瞬移实现的原理吧。我们知道瞬移实际上就是从这个坐标直接移动到另外一个自己想要的坐标上，简单的说瞬移就是坐标的变换问题，我们还知道在奇迹中除了用鼠标可以在游戏中走动改变坐标以外，还有两种情况可以改变坐标，一：利用移动命令回城；二、被巫师王这样的怪物用掌心雷拖动。用鼠标移动是不可能实现瞬移的，我们可以想想其他两种情况，很容易就会发现，第一种改变坐标的时候，我们把自己想要的坐标告诉它，这样不就可以实现瞬移了吗。第二种情况的时候，我们让巫师王把自己推到自己想要的地方也就可以了。
好的，现在知道原理了，我们需要做的是在程序中找到这些数据，并在相应的时间修改成我们需要的数据就可以了。
我以第二种方法为例，教大家如憾窗找并修改这样的数据。
首先，随便启动一个SF，我之所以选SF是因为SF的MAIN文件都已经去除了反调试部分代码，如果我没分析错的话，反调试代码应该是在00481A99、00483001这两个地方。当然这个不是我们今天要研究的东西，直接进入主题吧。
进入游戏后，我们先要找到人物坐标在游戏中的数据，这里我们利用金山游侠V，这个我想大家都应该会用吧，就不做详细说明了。好的我们找到如下三个地址：
7C9319C C985D1B 1436CC3B (因为数据为动态，所以两次运行得到的数据地址都不同，没有参考性)
好的数据找到了，应该就是这三个当中的一个。现在到关键地方了，打开Ollydbg V1.10，点文件→附加，找到MU主程序，并加载。然后让游戏继续运行，要不一下游戏就掉线了，如果掉线就得从头来过。
现在在OD的转存窗口，CTRL+G去到我们刚才找到的三个地址。
07C9318C 00 00 00 00 00 00 00 00 3D 00 00 00 B2 00 00 00 ........=...?..
07C9319C 62 00 00 00 27 00 00 00 27 00 00 00 27 00 00 00 b...'...'...'...
07C931AC 05 00 00 00 27 00 00 00 05 00 00 00 06 00 00 00 ...'... ... ...
07C931BC 27 00 00 00 05 00 00 00 27 00 00 00 47 6D 82 00 '... ...'...Gm?
0C985D0B 00 00 00 60 60 60 60 60 60 60 61 6F 60 62 63 63 ...```````ao`bcc
0C985D1B 62 90 B1 9B 0C AF 62 00 00 B1 64 00 00 08 F0 9F b惐?痓..眃.. 馃
0C985D2B 0C 10 F0 A3 0C 48 00 45 14 E4 B6 5F 00 00 00 00 . 穑.H.E 涠_....
1436CC2B B1 B2 B2 B4 00 00 00 00 00 00 00 00 00 00 00 63 辈泊...........c
1436CC3B 62 64 66 00 00 00 00 00 00 00 00 00 00 00 00 00 bdf.............
我们在1436CC3B这里点鼠标右键，下内存写入断点，不要问我为什么不在前两个地方下断点，这里为了简单些说明问题，就不一个试了，这是经验，因为我分析这个不下10来次，三个数据都下过断点，所以知道第三个数据是关键的数据，前两个中，地一个数据在以后的教程中会继续说到，第二个数据我也不能确切的知道是什么作用。
现在在游戏中随便走一步，OD立刻断在这里,取消断点，继续运行游戏：
004AA091 41 inc ecx
004AA092 8858 F1 mov byte ptr ds:[eax-F],bl
004AA095 8A59 FF mov bl,byte ptr ds:[ecx-1]
004AA098 8818 mov byte ptr ds:[eax],bl //断在这里,eax里的值就是1436CC3B，BL里的值就是我们刚才点的哪坐标。
004AA09A 40 inc eax
004AA09B 33DB xor ebx,ebx
004AA09D 03D0 add edx,eax
看这里需要些汇编知识，如果不明白，还是去学一下汇编知识。这里我粗略解释一下吧，mov byte ptr ds:[eax],bl这句的意识，是把BL里的值按byte传到EAX这个地址中，再看前一句，我们可以知道ECX-1这个地址里的值就是我们在游戏中鼠标点的Y坐标。再上一句从格式看，可以猜到就是X坐标了。好的，我们把这里改成这样看看~~
004AA091 41 inc ecx
004AA092 C640 F1 64 mov byte ptr ds:[eax-F],64
004AA096 C600 64 mov byte ptr ds:[eax],64
004AA099 90 nop
004AA09A 40 inc eax
0x64是十进制的100，现在我们走动一下看看，人物是不是自动走到100 100去了。OK,今天我们讲课就到这里，具体要实现瞬移已经找到一部分关键数据了，还需要的就是找到被巫师王拖动过程平移的哪一部份代码，不过在99J以后的版本我就发现巫师王都拖不动人了的，所以我也没找到这部分代码，也正因为这样，瞬移一直没加进去。
这里我只是教大家些找数据的方法，具体要怎么写程序这个看个人的了。有些东西还是要*自己学习，别人无法代劳
您的回复，是对我最大的支持中华游戏网 cnyouw.cn
|
