本次实验内容：通过阳光增加的值为切⼊点，到⾃动收集阳光的关键判断并实现⾃动收集阳光，⾸先我们猜测当阳光出现后，我们是否会去点击，这个过程必然是由⼀个判断和⼀个时钟周期事件来控制的，那么当我们点击下落的阳光以后，则该判断条件实现，会执⾏收集阳光的CALL，否则的话继续执⾏阳光下落的过场动画，这正是正向开发的⼀种开发⼿段，此时我们也仅仅是猜测，接下来我们将去验证这个⼤胆的想法。
为了到阳光⾃动收集的关键跳转，我们需要以阳光增加作为切⼊点，为啥以它作为切⼊点呢？我们可以这样思考，当我们点击阳光后阳光增加了，说明已经完成了判断，下⼀步就是写⼊变量从⽽增加阳光，那么我们先来到阳光的动态地址，并在该动态地址上按下F6键查写⼊，然后回到游戏等待阳光出现并点击阳光，此时CE会出现以下代码，我们只需要记下00430A11这个内存地址，然后直接关闭CE。
接着打开X64dbg附加到游戏进程，附加完成后，游戏会被X64dbg暂停运⾏，此时我们直接按下F12让游戏运⾏起来，然后按下Ctrl + G输
⼊00430A11跳转到刚才到的代码位置，过去以后直接F2下⼀个断点。
此时我们需要逆向思考⼀个问题add dword ptr ds:[eax+0x5560],ecx这条指令是在我们阳光被点击后执⾏
的，也就是说我们已经点击了阳光现在开始赋值了，那判断阳光是否被回收肯定是在这条指令之前出现，所以我们向上，观察代码我们不难看出执⾏add dword ptr ds:
[eax+0x5560],ecx指令之前有⼀个⽆条件跳转jmp 0x00430A0E跳过来的。
收集阳光继续向上查跳转来源，可知在jmp跳转之前有⼀个je 0x004309EF跳转，经过测试这个地⽅具体控制阳光是否增加，在向上就到段⾸了，此处代码中并没有出现⾃动收集阳光的关键跳转，因此推断这⾥应该是⼀个控制阳光是否增加的⼦过程(⼦过程：过程中调⽤的过程，称为⼦过程)，所以我们继续回朔到上⼀层。
为了能够回朔到上⼀层，我们需要取消阳光递增处的断点，并在段尾00430AB3处下⼀个F2断点防⽌程序跑飞，回到游戏等待阳光的出现，然后X64dbg就会断下，断下后直接取消00430AB3处的断点，执⾏到Ret处即可返回到上⼀层。
返回到上⼀层以后，可以看到我们正是在call <plantsvszombies.sub_4309D0>这⾥出来的，⽽上⽅就有⼀个jne plantsvszombies.4313FD关键跳，此处的关键跳转也并不是控制是否回收阳光的关键跳转，⽽此处的代码量⽐较少，因此判断此处还是⼀个⼦过程，我们继续回溯到上⼀层。
我们直接单步F8运⾏到返回，并出这个CALL，出CALL以后会看到call <plantsvszombies.sub_430E40>
没错！我们正是从这个⼦过程⾥出来的，接着向上跳转会看到有⼀个jne plantsvszombies.431599此处如果将其改为jmp的话即可实现⾃动收集阳光，也就是说如果jne跳转实现则执⾏收集阳光，否则继续执⾏阳光下落的过场动画。
注意：如果我们在关键跳jne plantsvszombies.4313FD处下断点时，会发现当阳光出现后程序会被⽆限的断下，这说明是有⼀个定时器线程在不断的执⾏判断代码，每次都会判断你是否点击了阳光，所以X64dbg才会被⼀直断下。
知道了修改流程，那我们就通过编程的⽅式来实现修改程序的硬编码，⾸先我们可以通过以下代码完成字节集的读取。
#include <stdio.h>
#include <Windows.h>
byte *ReadByteSet(DWORD Pid, DWORD Base, DWORD Size)
{
HANDLE handle = OpenProcess(PROCESS_ALL_ACCESS, 0, Pid);
byte *buf = new byte[Size];
ReadProcessMemory(handle, (LPVOID)Base, buf, Size, NULL);
return buf;
}
int main()
{
byte *Buff = new byte[10];
Buff = ReadByteSet(2232, 0x00401000, 10);
for (int i = 0; i < 10; i++)
printf("%02X ", Buff[i]);
return 0;
}
既然有读取内存字节集，那么就有写⼊字节集，如下代码就是⼀种字节集写⼊的实现⽅式。
#include <stdio.h>
#include <Windows.h>
BOOL WriteByteSet(DWORD Pid, DWORD Base, unsigned char *ShellCode, DWORD Size)
{
BYTE *Buff = new BYTE[Size];
memset(Buff, *ShellCode, Size);
HANDLE handle = OpenProcess(PROCESS_ALL_ACCESS, 0, Pid);
BOOL Ret = WriteProcessMemory(handle, (LPVOID)Base, Buff, Size, NULL);
if (Ret)
return TRUE;
else
return FALSE;
}
int main()
{
unsigned char shell[] = { 0x90, 0x90, 0x90, 0x90, 0x90, 0x90, 0x90, 0x90 };
BOOL temp = WriteByteSet(3772, 0x00401010, shell, 8);
return 0;
}
想要实现阳光⾃动收集，只需要将0x0043158F机器码0x75 0x08修改为0xEB 0x08即可实现效果。 unsigned char shell[] = { 0xEB };
BOOL temp = WriteByteSet(9744, 0x0043158F, shell, 1);
发布评论