翱翔.Net

释放.Net的力量
posts - 74, comments - 1117, trackbacks - 4, articles - 17
  博客园 :: 首页 :: 新随笔 :: 联系 :: 订阅 订阅 :: 管理

2008年7月1日

用OD和CE结合跟踪查找基址

以前看过的教程是用CE找武林的一级基址。如果游戏都那样的就按他的方法很好找了。用OD跟踪也很块就定位真正的基址。

 

用CE搜索血值后。一般都能定位到有几个。最好的是只有一个。多了直接用第１个的地址。

 

用OD附近游戏。来到他的内存区（左下角）　转到地址输入刚才第一个的地址。

然后在此下内存断点。

这里有两种断点　写断点　访问断点　　按字面理解　

不管下哪种断点最终根据汇编代码都是可以跟到基址的。

 

切到游戏OD中断后。

都是类似的代码mov [esi+2d8],EAX

这时要去找谁给ESI赋值了。在CE中是要接着下断点。在OD里需要往上找看谁给ESI附值了。

 

就拿CE的第８步说吧。

按上面显示的是１２９１.搜索只有一个值。。如果有多个可以点一下change value改变看哪个变。

00D65318　地址处存放着1291

 

用OD附加此程序

转到00D65318地址后下内存断点。回到程序点change value

OD中断后的汇编代码

0045662B    A1 20CC4500     MOV EAX,DWORD PTR DS:[45CC20]
00456630    8B40 0C         MOV EAX,DWORD PTR DS:[EAX+C]
00456633    8B40 14         MOV EAX,DWORD PTR DS:[EAX+14]
00456636    8B00            MOV EAX,DWORD PTR DS:[EAX]
00456638    8970 18         MOV DWORD PTR DS:[EAX+18],ESI

直接看汇编代码就能知道45CC20是基址　+偏移最后才放着这个1291

 

这是CE的这个Cheat Engine tutorial程序这里都放一起了。游戏的程序不是这样的。

 

一般都需要往上跟。可以看寄存器的值看哪里改变他了再找相应的汇编代码

posted @ 2008-07-01 22:32 Hover 阅读(1053) | 评论 (3) | 编辑

[转]OD 跟踪调试经验

原作者不详

如你要跟ebx，跟到某层遇到mov ebx, [ebp-430]之类的，不用讲，局部变量，此时在ebx下断，看ebx的值，再ctrl+f9, f8,到上一层看是怎么传进来这个参数的。比如是最后一次push传进来的，就向上一直跟最后一次push的寄存器。
向上跟数值时，遇到ebp，esp之类的，一定要仔细看。仔细分析堆栈。并不要认为上一个函数一定是堆栈平衡。
遇到跟数据是跟ecx的，一般情况，都很向上跟很多层，因为在面向对象语言中，对象指针都用ecx寄存器存放，而对象指针在函数中很重要的，或者说，一个对象函数中很多层函数都要保存这个对象指针，因为任何函数都可能用到。
跟数据遇到要找eax时，第一反应因为是向上看最近一个CALL函数，但也不一定是最近一个CALL函数的返回值。因为有些函数是没有返回值的。所以您要做的就是在那个函数下断，再F8走过函数，看寄存器eax变化没有。
从断游戏，分析数据角度讲，经常要用到断内存数据是谁写的。有的游戏是不能下内存断点的，此时可以考虑硬件断点。
当你向某内存地址下写入断点，看谁写的它时，断下后发现是堆栈写，此时，你就不要在堆栈去下断点了，堆栈数据是随时都在写，这样是断不下来的。这样，就只有向上看反汇编，F8一步一步走，看是谁向堆栈写数据。
有时需要断edi时，而edi是变化的，此时可以找规律，查看edi每次的step为多少，然后去到当前edi向后增加多少下断点。
在有些情况下，比如过程函数，分支函数，你直接下断点可能一直断下，所以此时您就需要用到条件断点，所以一定要掌握条件断点用法。
经常注意当前模块位置，打个比如，当你断在MSVERT模块中，你需要找的edx，而edx就是一个地址，此时，可能MSVERT模块已经相对游戏领空很多层了，你一步一步向上找可能很花时间，也很容易跟错数据。此时你可能考虑一次性多次ctrl+f9, f8，直到Game模块，然后在Game模块中，调用MSVERT的这个函数下断，看下是怎么传参进去的（也就是是第几个参数，或者寄存器传的edx值）。这样，再向上找就方便多了。
如果是做内挂，一定不要去说用封包好还是用CALL好，只可以告诉自己，哪个方便用哪个。CALL找不到，找封包，如果封包分析不出数据，就找CALL。也许换种方法更简单

posted @ 2008-07-01 21:55 Hover 阅读(435) | 评论 (0) | 编辑