搜索

[14527] 2019-08-29_实战某游戏厂商FPS游戏CRC检测的对抗与防护

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-08-29_实战某游戏厂商FPS游戏CRC检测的对抗与防护 实 战 某 游 戏 厂 商 F P S 游 戏 C R C 检 测 的 对 抗 与 防 护 小 迪 x i a o d i   F r e e B u f   2 0 1 9 - 0 8 - 2 9 一 、 简 介 一 、 简 介 不 得 不 说 ， 随 着 时 代 的 发 展 ， 游 戏 产 业 在 近 几 年 的 互 联 网 潮 流 中 越 来 越 扮 演 者 重 要 的 地 位 ， 与 之 而 来 的 不 仅 有 网 络 游 戏 公 司 的 春 天 ， 还 有 游 戏 灰 色 产 业 的 暗 流 涌 动 。 在 游 戏 产 业 的 发 展 不 得 不 说 ， 随 着 时 代 的 发 展 ， 游 戏 产 业 在 近 几 年 的 互 联 网 潮 流 中 越 来 越 扮 演 者 重 要 的 地 位 ， 与 之 而 来 的 不 仅 有 网 络 游 戏 公 司 的 春 天 ， 还 有 游 戏 灰 色 产 业 的 暗 流 涌 动 。 在 游 戏 产 业 的 发 展 中 ， 诞 生 了 一 大 批 所 谓 的 中 ， 诞 生 了 一 大 批 所 谓 的 “ 外 外 x 挂 挂 ” 开 发 人 员 ， 他 们 不 断 的 利 用 游 戏 的 漏 洞 ， 在 违 法 牟 利 的 同 时 ， 也 促 进 了 游 戏 安 全 行 业 的 进 步 。 开 发 人 员 ， 他 们 不 断 的 利 用 游 戏 的 漏 洞 ， 在 违 法 牟 利 的 同 时 ， 也 促 进 了 游 戏 安 全 行 业 的 进 步 。 同 时 ， 在 游 戏 安 全 的 对 抗 中 ， 诞 生 了 以 下 几 种 技 术 以 防 止 游 戏 作 弊 的 发 生 ： ⒈ 数 据 检 测 ： 对 基 础 的 游 戏 数 据 进 行 校 验 ， 例 如 坐 标 是 否 违 规 越 界 地 图 （ 坐 标 瞬 移 功 能 ） ， 人 物 短 时 间 位 移 距 离 是 否 过 大 （ 人 物 加 速 功 能 ） 等 等 ⒉ C R C 检 测 ： 基 于 游 戏 程 序 代 码 的 检 验 ， 例 如 将 人 物 移 动 中 判 断 障 碍 物 的 j e 条 件 跳 转 修 改 为 j m p 强 制 跳 转 （ 人 物 穿 墙 功 能 ） 等 等 ⒊ 封 包 检 测 ： 将 游 戏 数 据 封 包 进 行 校 验 ， 防 止 利 用 封 包 漏 洞 实 现 违 规 操 作 ， 例 如 之 前 的 穿 X 火 线 强 登 （ 可 以 登 录 任 意 账 号 ） 等 等 ⒋ 机 器 检 测 ： 现 在 鹅 厂   安 全 组 好 像 换 人 了   ， 游 戏 机 器 码 封 的 都 挺 狠 ， 一 封 就 十 年 ， 不 过 道 高 一 尺 ， 魔 高 一 丈 ， 目 前 依 然 不 够 完 善 ， 很 多 朋 友 还 是 可 以 P a s s ⒌ C a l l 检 测 ： 非 法 调 用 C a l l 导 致 校 验 值 非 法 ， 例 如 攻 击 C a l l 的 严 格 校 验 （ 角 色 扮 演 游 戏 自 动 打 怪 脚 本 都 是 调 用 C a l l 的 ） 等 等 ⒍ 堆 栈 检 测 ： 该 检 测 归 于 调 用 C a l l 过 程 中 产 生 的 问 题 ⒎ 文 件 检 测 ： 对 于 游 戏 本 地 文 件 的 检 测 ， 例 如 之 前 穿 X 火 线 几 年 前 风 靡 一 时 的 R E Z 文 件 （ 快 刀 秒 杀 ， 穿 墙 ， 遁 地 ， 飞 天 ） 等 等 ⒏ 模 块 检 测 ： 很 多 外 x 挂 采 用 “ 注 入 ” 的 形 式 ， 所 以 模 块 检 测 在 游 戏 安 全 对 抗 中 也 扮 演 着 极 其 重 要 的 作 用 ⒐ 特 征 检 测 ： 这 个 主 要 检 测 典 型 的 使 用 “ 易 语 言 ” 开 发 的 程 序 ， 或 者 部 分 外 x 挂 市 场 比 较 大 的 毒 瘤 程 序 ， 或 者 菜 单 绘 制 （ i m g u i 绘 制 ） 等 等 ⒑ 调 试 检 测 ： 针 对 调 试 器 和 调 试 行 为 的 检 测 ， 对 O l l y d b g ， C h e a t E n g i n e 等 调 试 器 特 征 和 调 试 行 为 的 检 测 等 。 ⒒ 游 戏 保 护 ： 主 要 是 利 用 R 3 各 种 反 调 试 技 术 以 及 驱 动 层 的 H O O K 等 技 术 实 现 的 游 戏 保 护 ， 例 如 鹅 厂 的 T P 等 等 可 能 还 有 一 些 我 暂 时 还 没 想 到 的 ， 哥 哥 们 可 以 在 下 方 补 充 ~ 二 、 步 入 今 天 的 正 题 二 、 步 入 今 天 的 正 题 — C R C 检 测 检 测 首 先 ， 我 们 今 天 要 讲 的 是 游 戏 的 C R C 检 测 ， 所 以 为 了 能 让 下 面 的 内 容 让 大 家 理 解 ， 我 们 先 来 准 备 一 下 C R C 检 测 的 基 础 知 识 吧 ： ⒈ 百 度 百 科 给 我 们 ⒈ 百 度 百 科 给 我 们 C R C 的 解 释 的 解 释 C R C 即 循 环 冗 余 校 验 码 （ C y c l i c   R e d u n d a n c y   C h e c k ） ： 是 数 据 通 信 领 域 中 最 常 用 的 一 种 查 错 校 验 码 ， 其 特 征 是 信 息 字 段 和 校 验 字 段 的 长 度 可 以 任 意 选 定 。 循 环 冗 余 检 查 （ C R C ） 是 一 种 数 据 传 输 检 错 功 能 ， 对 数 据 进 行 多 项 式 计 算 ， 并 将 得 到 的 结 果 附 在 帧 的 后 面 ， 接 收 设 备 也 执 行 类 似 的 算 法 ， 以 保 证 数 据 传 输 的 正 确 性 和 完 整 性 。 来 源 ： h t t p s : / / b a i k e . b a i d u . c o m / i t e m / c r c % E 6 % A 0 % A 1 % E 9 % A A % 8 C ⒉ 维 基 百 科 给 我 们 ⒉ 维 基 百 科 给 我 们 C R C 的 解 释 的 解 释 循 环 冗 余 校 验 （ 英 语 ： C y c l i c   r e d u n d a n c y   c h e c k ， 通 称 “ C R C ” ） 是 一 种 根 据 网 络 数 据 包 或 计 算 机 文 件 等 数 据 产 生 简 短 固 定 位 数 校 验 码 的 一 种 散 列 函 数 ， 主 要 用 来 检 测 或 校 验 数 据 传 输 或 者 保 存 后 可 能 出 现 的 错 误 。 生 成 的 数 字 在 传 输 或 者 存 储 之 前 计 算 出 来 并 且 附 加 到 数 据 后 面 ， 然 后 接 收 方 进 行 检 验 确 定 数 据 是 否 发 生 变 化 。 一 般 来 说 ， 循 环 冗 余 校 验 的 值 都 是 3 2 位 的 整 数 。 由 于 本 函 数 易 于 用 二 进 制 的 计 算 机 硬 件 使 用 、 容 易 进 行 数 学 分 析 并 且 尤 其 善 于 检 测 传 输 通 道 干 扰 引 起 的 错 误 ， 因 此 获 得 广 泛 应 用 。 此 方 法 是 由 W .   W e s l e y   P e t e r s o n 于 1 9 6 1 年 发 表 [ 1 ] 。 来 源 ： h t t p s : / / z h . w i k i p e d i a . o r g / w i k i / % E 5 % B E % A A % E 7 % 9 2 % B 0 % E 5 % 8 6 % 9 7 % E 9 % A 4 % 9 8 % E 6 % A 0 % A 1 % E 9 % A 9 % 9 7 我 们 总 结 一 下 上 面 的 百 科 解 释 ： C R C 是 一 种 校 验 算 法 并 且 该 算 法 被 广 泛 应 用 于 文 件 ， 数 据 等 的 校 验 。 不 过 好 像 对 于 逆 向 来 说 还 是 有 些 模 糊 ， 那 么 现 在 就 让 我 们 打 开 看 雪 论 坛 发 布 的 《 加 密 与 解 密 （ 第 四 版 ） 》 第 2 7 9 页 ， 看 一 下 其 中 的 解 释 ：
通 过 翻 阅 书 籍 ， 我 们 发 现 实 际 上 C R C 算 法 有 很 多 种 ， 而 我 们 运 用 在 软 件 加 密 中 的 C R C 算 法 为 C R C 3 2 算 法 。 哇 ， 这 本 书 ， 兄 弟 萌 ， 你 们 看 ， 这 本 书 ， 简 直 就 是 逆 向 界 的 圣 经 啊 ， 别 犹 豫 了 ！ 买 他 ！ 书 本 有 价 ！ 知 识 无 价 ！ 哈 哈 ， 开 个 玩 笑 ， 在 这 里 对 所 有 参 与 《 加 密 与 解 密 》 书 籍 工 作 的 朋 友 致 敬 ！ 三 、 手 写 一 个 三 、 手 写 一 个 C R C 检 测 检 测 参 考 《 加 密 与 解 密 》 书 籍 ， 我 们 便 写 如 下 代 码 ， 实 现 我 们 的 C R C 检 测 ： 首 先 ， 为 了 方 便 我 们 进 行 学 习 ， 我 们 将 C R C 算 法 运 用 于 自 己 身 上 ， 检 验 自 身 代 码 是 否 被 修 改 ， 整 体 性 代 码 如 下 ： # i n c l u d e   < W i n d o w s . h > # i n c l u d e   < s t d i o . h > i n t   c r c   =   N U L L ; i n t   h a v e _ c r c _ t a b l e   =   N U L L ; u n s i g n e d   i n t   c r c 3 2 _ t a b l e [ 2 5 6 ] ; / / 生 成 具 有 2 5 6 个 元 素 的 C R C 3 2 表 v o i d   C r c _ M a k e _ T a b l e ( ) {     h a v e _ c r c _ t a b l e   =   1 ;     f o r   ( i n t   i   =   0 ;   i   <   2 5 6 ;   i + + )     {         c r c   =   i ;         f o r   ( i n t   j   =   0 ;   j   <   8 ;   j + + )         {             i f   ( c r c   &   1 )                 c r c   =   ( c r c   > >   1 )   ^   0 x E D B 8 8 3 2 0 ;   / / C R C 3 2   多 项 式 的 值 , 也 可 以 是 0 x 0 4 C 1 1 D B 7             e l s e                 c r c   > > =   1 ;         }
最 后 ， 我 们 在 生 成 文 件 的 时 候 ， 要 注 意 以 下 几 个 问 题 ： ⒈ 静 态 编 译 和 去 除 优 化 等 的 设 置         c r c 3 2 _ t a b l e [ i ]   =   c r c ;   / / 生 成 并 存 储 C R C 3 2 数 据 表     } } / / 根 据 C R C 3 2 数 据 表 计 算 内 存 或 文 件 C R C 校 验 码 u n s i g n e d   i n t   C a l c _ C r c 3 2 ( u n s i g n e d   i n t   c r c ,   c h a r   * D a t a ,   i n t   l e n ) {     c r c   =   0 x F F F F F F F F ;   / / 将 C R C 初 始 化 为 - 1     / / 判 断 C R C 3 2 表 是 否 生 成     i f   ( ! h a v e _ c r c _ t a b l e )         C r c _ M a k e _ T a b l e ( ) ;     f o r   ( i n t   i   =   0 ;   i   <   l e n ;   i + + )     {         c r c   =   ( c r c   > >   8 )   ^   c r c 3 2 _ t a b l e [ ( c r c   ^   D a t a [ i ] )   &   0 x f f ] ;     }     r e t u r n   ~ c r c ; } i n t   m a i n ( ) {     S e t C o n s o l e T i t l e A ( " C r c 检 测 过 掉 学 习 工 具   V e r 1 . 0         提 供 方 ： 小 迪 X i a o d i " ) ;     p r i n t f ( " n n " ) ;     p r i n t f ( " 使 用 C E 工 具 - > 添 加 地 址 0 x 4 0 2 0 0 0 - > 查 找 访 问 并 尝 试 过 掉 检 测 ！ n n " ) ;     p r i n t f ( " 如 果 修 改 主 程 序 模 块 ， 将 会 提 示   “ C R C 代 码 校 验 检 测 到 您 修 改 了 代 码 ！ ” ： n n n n n "     u n s i g n e d   i n t   u M a i n M o u d l e S u m A   =   C a l c _ C r c 3 2 ( 0 ,   ( c h a r * ) 0 x 4 0 0 0 0 0 ,   0 x 1 F 0 0 0 ) ; / / 4 0 0 0 0 0 -   4 1 D 0 0 0     / / w h i l e 循 环 开 启 C R C 检 测     w h i l e   ( 1 )     {         / / C R C 循 环 检 测 内 存 实 时 校 验 值         u n s i g n e d   i n t   T m p C r c S u m   =   C a l c _ C r c 3 2 ( 0 ,   ( c h a r * ) 0 x 4 0 0 0 0 0 ,   0 x 1 F 0 0 0 ) ;         i f   ( T m p C r c S u m   ! =   u M a i n M o u d l e S u m A )         {             / / 封 号 处 理 - 掉 线 处 理             M e s s a g e B o x A ( N U L L ,   " C R C 代 码 校 验 检 测 到 您 修 改 了 代 码 ！ " ,   " C a p t i o n " ,   M B _ O K ) ;         }         S l e e p ( 2 0 0 0 ) ;     }     g e t c h a r ( ) ;     r e t u r n   0 ; }
⒉ C R C 校 验 函 数 传 入 参 数 的 设 置 ： 代 码 处 ： 在 这 里 尤 其 要 注 意 传 入 的 第 三 个 参 数 ， 他 代 表 了 一 个 校 验 的 范 围 ， 那 么 这 个 位 置 ， 我 们 如 何 确 定 呢 ？ 1 ） ： 先 编 译 生 成 文 件 ， 我 生 成 的 是 R e l e a s e 版 本 ： 2 ） ： 用 P E 相 关 的 工 具 确 定 程 序 主 模 块 镜 像 的 大 小 ， 在 这 里 我 使 用 的 是 P E I D   v 0 . 9 5 工 具 ： C a l c _ C r c 3 2 ( 0 ,   ( c h a r * ) 0 x 4 0 0 0 0 0 ,   0 x 1 F 0 0 0 ) ;
复 制 粘 贴 一 下 镜 像 大 小 ， 传 入 一 下 就 可 以 了 ， 这 个 参 数 不 可 以 乱 填 ， 否 则 会 造 成 数 据 溢 出 ， 导 致 程 序 崩 溃 。 四 、 对 自 己 的 四 、 对 自 己 的 C R C 程 序 的 防 护 测 试 程 序 的 防 护 测 试 ⒈ 运 行 自 己 的 程 序 并 用 C h e a t E n g i n e 添 加 地 址 ： ⒉ 修 改 代 码 测 试 ： 由 于 0 x 0 0 4 0 2 0 0 0 处 于 代 码 段 的 位 置 ， 所 以 我 们 修 改 数 值 就 相 当 于 修 改 了 代 码 ， 也 就 相 应 的 触 发 了 代 码 C R C 的 校 验 ⒊ 我 们 将 末 尾 的 数 字 “ 2 ” 改 为 “ 3 ”   ， 直 接 触 发 了 C R C 检 测 ：
五 、 对 自 己 的 五 、 对 自 己 的 C R C 程 序 的 分 析 程 序 的 分 析 1 ） 首 先 ， 在 攻 击 前 ， 我 们 要 知 道 代 码 的 C R C 检 测 是 针 对 代 码 段 的 2 ） 代 码 段 是 用 来 执 行 的 ， 正 常 情 况 下 不 会 有 其 他 数 据 访 问 代 码 段 ， 被 访 问 的 大 多 是 数 据 段 ， 代 码 段 被 访 问 ， 很 可 疑 就 是 C R C 检 测 3 ） 此 处 说 的 “ 访 问 ” 的 概 念 ， 大 家 可 以 通 过 C h e a t E n g i n e 工 具 中 的 “ 找 出 是 什 么 访 问 了 这 个 地 址 ” 来 理 解 开 干 ！ ⒈ 针 对 0 x 4 0 2 0 0 0 这 个 地 址 ， 在 C h e a t E n g i n e 工 具 中 鼠 标 右 键 ， 查 找 访 问 ， 操 作 如 下 ： 2 . 检 测 出 现 了 ！ 我 们 记 录 一 下 该 处 的 访 问 代 码 ： 因 为 O l l y d b g 的 调 试 体 验 要 更 好 一 些 ， 所 以 我 们 记 录 地 址 ： 0 x 4 0 1 0 3 F ， 并 转 到 O l l y d b g 去 分 析 ： 0 0 4 0 1 0 3 F   -   m o v s x   e c x , b y t e   p t r   [ e a x ]
O l l y d b g 舒 服 就 舒 服 在 还 能 把 你 的 代 码 分 析 出 来 ， 太 强 了 ！ ⒊ 下 断 走 一 遍 流 程 刚 开 始 的 时 候 ， 注 意 观 察 e a x ： 单 步 往 下 执 行 ， 下 面 会 有 个 强 制 性 的 向 上 跳 转 ： 继 续 执 行 走 到 初 始 位 置 ：
总 结 ： 发 现 e a x 由 0 x 4 0 0 0 0 0 变 成 了 0 x 4 0 0 0 0 1 ， 也 就 是 说 ， 它 在 循 环 的 递 增 检 测 所 有 范 围 内 的 内 存 代 码 数 据 ⒋ 返 回 上 一 层 观 查 一 下 函 数 通 常 ， 大 家 可 能 会 C T R L + F 9 返 回 上 一 层 ， 或 者 按 如 下 图 中 返 回 ： 这 样 做 后 就 发 现 无 论 如 何 都 无 法 返 回 ， 那 应 该 怎 样 做 呢 ？ 很 简 单 ， 我 们 可 以 从 堆 栈 中 返 回 ， 堆 栈 窗 口 有 个 神 奇 的 功 能 就 是 返 回 数 据 ： 对 着 “ 返 回 到 ” 敲 下 回 车 键 ， 抽 个 烟 的 时 间 ： 奇 迹 竟 然 发 生 了 ：
瞧 瞧 我 们 看 见 了 什 么 ？ 1 ） 我 们 自 己 写 的 C R C 检 验 函 数 2 ） 检 验 函 数 上 面 就 是 我 们 的 参 数 ， 起 始 检 测 地 址 和 检 测 范 围 3 ） 我 们 自 己 写 的 信 息 框 函 数 和 S l e e p 函 数 这 个 位 置 ， 相 当 于 代 码 中 的 ： 对 比 图 ： 怎 么 样 ， 是 不 是 很 刺 激 ？ 六 、 对 自 己 的 六 、 对 自 己 的 C R C 程 序 的 攻 击 测 试 程 序 的 攻 击 测 试 在 这 里 呢 ， 我 们 简 单 的 讲 几 种 过 掉 的 姿 势 ： ⒈ 跳 转 j m p 直 接 P a s s / / 初 始 内 存 校 验 值     u n s i g n e d   i n t   u M a i n M o u d l e S u m A   =   C a l c _ C r c 3 2 ( 0 ,   ( c h a r * ) 0 x 4 0 0 0 0 0 ,   0 x 1 F 0 0 0 ) ; / / 4 0 0 0 0 0 -   4 1 D 0 0 0     / / w h i l e 循 环 开 启 C R C 检 测     w h i l e   ( 1 )     {         / / C R C 循 环 检 测 内 存 实 时 校 验 值         u n s i g n e d   i n t   T m p C r c S u m   =   C a l c _ C r c 3 2 ( 0 ,   ( c h a r * ) 0 x 4 0 0 0 0 0 ,   0 x 1 F 0 0 0 ) ;         i f   ( T m p C r c S u m   ! =   u M a i n M o u d l e S u m A )         {             / / 封 号 处 理 - 掉 线 处 理             M e s s a g e B o x A ( N U L L ,   " C R C 代 码 校 验 检 测 到 您 修 改 了 代 码 ！ " ,   " C a p t i o n " ,   M B _ O K ) ;         }         S l e e p ( 2 0 0 0 ) ;     }     g e t c h a r ( ) ;     r e t u r n   0 ;
分 析 ： 这 个 位 置 直 接 P a s s 掉 下 方 的 C R C 校 验 函 数 ， 直 接 跳 转 到 了 g e t c h a r 函 数 ， 过 于 简 单 粗 暴 ， 仅 适 用 于 该 程 序 ， 不 适 用 于 网 络 游 戏 哦 ~ ⒉ N o p 大 法 N o p 大 法 尤 其 要 注 意 N o p 一 定 要 N o p 彻 底 ！ 另 外 一 定 要 堆 栈 平 衡 ！ 否 则 被 检 测 或 者 程 序 崩 溃 ！ ⒊ 分 析 代 码 更 改 判 断 条 件 下 断 看 e a x ， e a x 根 据 代 码 结 合 内 层 函 数 得 知 ， 是 我 们 的 C R C 校 验 值 ： 内 层 函 数 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理