说说找CALL的原理

我以前写过几个挂，不过都是封包的，也懂一些逆向，但没有写过这种靠调用游戏函数的外挂。来到这里一看，大家都喜欢这样的，那我也来说说我的想法吧。
　　看过这里有的大大是断下send后，去找调用send的CALL，找到这个CALL再找上一次的CALL，这样去找关键CALL，但是，有的游戏这样是找不来的，所以，如果有的游戏不能这样找回去，那怎么办呢，这就要先说说原理了。
　　要说找CALL的原理，我们应该想想游戏的运行机制。也就是说游戏的控制方式是怎么样的。
　　不说费话，其实大多数的游戏都是这样的，来个买药的例子吧：
　　点击买药后：
　　1、客户端产生一个买药行为 并调用买物品的过程，如：BuyGoods(s:string,n:integer);　//参数s为物品种类 n为数量
        2、这个行为会产生一个发送给服务器的数据信息　MakeInfoString;
　　　比如：36 00 01 .........
　　3、数据出来要进行一次或N次的加密。
　　4、加密后通过send或WSASend函数将这个信息发给服务器处理。
　　5、等待服务器处理返回。
　　6、服务器返回购买成功的信息。
　　7、客户端响应这个信息，并调用本地动作行为。
　　这样，基本上就构成了游戏的一般的控制方式。
　　写出程序大概可能为：
主程序
....
....
BuyGoods(LifeMedicine,10);  //行为产生后调用买物品过程
....
....
主程序

procedure BuyGoods(s:string,n:integer);  //买物品的过程
begin
  send(Encrypt(MakeInfoString(s,n)));
end;
当然写法也可以是：
MakeInfoString;
Encrypt;
send;

不管怎么样方法都是差不多的。
　　了解了程序的大至写法，那么我们逆向起来就有个思路了：
    bp send
        返回向回找，先找到Encrypt，再向回找，能找到MakeInfoString（也就是找到明码部分），再向上找，就是调用这些东西的BuyGoods(s:string,n:integer)了。

　　我来找一个游戏说明一下吧，比如说有个什么名状的游戏。
　　这个游戏有个出征和休息待卫的功能，也就是放出和休息宝宝了。就拿这个CALL来讲吧。
　　这个游戏我用一般的思路往回找无法找出来这个出征的CALL，别的CALL没试，主要用是讲个例子。那么我就用另一个方法：
　　1，我先下bp send，返回看到这里，不用说就是send函数了。
　　　　　0069FFBF  |.  E8 82A11000  call   
　　,2，给send的BUF区下硬键访问断点，来到这里，看出是这里向Send函数的BUF区放数据的。
　　　　　0069FB43  |.  F3:A5        rep    movs dword ptr es:[edi], dword ptr [e>; |
　　3，给esi下断分析，发现加密函数。
　　　　　0069FB64  |.  E8 67060000  call    006A01D0                ; \封包加密函数
　　4，好，我们在这个加密函数下个断。然后点击“出征”，断下来后执行到返回。可以看到调用它的CALL。
　　　　　0069DD14  .  E8 471D0000  call    0069FA60
　　5，下断，再往回找，看到上一级的调用CALL。
　　　　　0069DEFC  |.  E8 BFFDFFFF  call    0069DCC0
　　6，下断，再往回找。
　　　　　006DBDFB  |.  FF50 0C      call    [eax+C]              
　　7，下断，再找。
　　　　　0065CB89  |.  8B4D 08      mov    ecx, [ebp+8]
　　　　　0065CB8C  |.  33C0          xor    eax, eax
　　　　　0065CB8E  |.  66:8B46 21    mov    ax, [esi+21]
　　　　　0065CB92  |.  6A 32        push    32                            ; /Arg3 = 00000032
　　　　　0065CB94  |.  50            push    eax                            ; |Arg2
　　　　　0065CB95  |.  51            push    ecx                            ; |Arg1
　　　　　0065CB96  |.  8D8D E4FBFFFF lea    ecx, [ebp-41C]                ; |
　　　　　0065CB9C  |.  C745 FC 00000>mov    dword ptr [ebp-4], 0          ; |
　　　　　0065CBA3  |.  E8 88F10700  call    006DBD30                      ; \TheWarlo.006DBD30　　　　
　　　8，再放上，是这里，看到红色这个CALL了吗，它就是“出征”的CALL了。

　　　　004101B2 |. 83F8 14 cmp eax, 14
004101B5 |. 8B45 08 mov eax, [ebp+8]
004101B8 |. 73 06 jnb short 004101C0
004101BA |. 83F8 01 cmp eax, 1
004101BD |. 7E 01 jle short 004101C0
004101BF |. 48 dec eax
004101C0 |> 8B4486 04 mov eax, [esi+eax*4+4]
004101C4 |. B9 58E88000 mov ecx, 0080E858
004101C9 |. 50 push eax ; /Arg1
004101CA |. E8 81C82400 call 0065CA50 ; \TheWarlo.0065CA50
004101CF |. 5E pop esi
004101D0 |. 5D pop ebp
004101D1 \. C2 0400 retn 4
　　　9，再上就是GuiDll的领空了。
　　　这两个都可以，
　　给大家这个例子，是想告诉大家，什么是找CALL的原理，我的意思是如果你都分析不清楚一个游戏或程序的运行方法，那你无论如何是不可能找到这些的。当然，如果有别人给的一些实际操作的例子除外。
　　好了，也差不了多少。也不知道我说的这些对大家有没有用，欢迎大家批评指正。