send和recv调用与实现 CALL篇二

作者：重楼
时间：2009-08-23


======================send函数的调用====================

P: 用模拟器拿到当教程,是因为模拟器比较简单,讲一些原理方面的东西比较好.我们学习的是原理而不是方法,很多人抱怨说模拟器根本就没用,其实不然,模拟器给我们提供了学习原理最好的途径.不要只学习方法,比如说下bp send 然后返回 ,然后就急冲冲的去找游戏里的CALL,这样你会摔的很狠.你要懂得为什么要这样做,游戏是怎么调用的?算法结构如何?系统是怎么调用函数的?等等的一切,等你了解之后自然而然就会恍然大悟,当然一切的基础就是 汇编基础.

      上回说了,游戏大部分都是用send  或者是 WSASend  来像服务器发送 数据的.现在封包没有加密的游戏越来越少了,可以说快绝种了,现在存在封包没有加密的游戏有  星尘传说 (最近加入了 心跳包 )  问鼎  等等


*心跳包 是指 每隔一段时间 像服务器 发送一个数据 . 一般用于 验证 是否掉线 . 因为像心跳一样,每隔一段时间动一次 就比喻为 心跳包.




 


这个是我们用到的 模拟器 .  一个服务端 一个客户端

封包 没有进行加密 ,今天 我们来找 send  CALL来达到发送 封包的目的.


老样子,打开OD 载入


下bp  send    点 一下  进入

OD开始断下



 

堆栈窗口 显示出 send 的 函数 所需要的参数.

我们打开 MSDN 查一下 send所需要的参数
(MSDN 是微软 发布的 WINDOWS API 函数的开发手册 里面有所有 函数的解释和细说)



 


send  (socket(套接字),封包数据,封包长度,标识)

这个就是send 函数所用到的 参数了

套接字: 每次跟服务器连接后 都会返回一个 类似于 端口 的一个数字  用来双方互相通信.你可以把它想象成一个通道.

封包数据:就是 发送封包的内容

封包长度:封包内容的长度

标识: 这个无需管他,默认为 0


好了  我们返回一层 就能看到 send函数了.




 

按照调用约定  参数 是从  右边开始 压入堆栈的

首先是 标识    0
然后是 大小
接着是 数据内容
最后是 套接数 也就是 socket


我们在  CALL EBP  下断 (按F2)

然后 运行 起来

点一下  加血 就会断下来


send 相关值 是 



 


套接数 =EC
封包内容 ="jx50"
长度 =4
标识 =0
call 71A24C27


好了  我们用 CALL注入器 写一个试试



 


push 40300E

这个是如何来的呢?

因为我们要发一个封包数据 但是 代码注入器 无法给内存写入 所以 我们可以用CE找 一个空白的地址 然后往里面写入我们需要的封包数据





 

搜索 0  会出来 一大堆 随便选一个  然后 把  类型改成文本  值 改成 jx50

然后把这个地址压入到  堆栈中  就可以调用成功了~~  当然 CALL之前别忘了把 send 断点给去掉
.


=====================socket的调用======================


这个时候你可能会注意到.这里 socket 的值是 EC . 如何取到这个值呢?

这个时候我们可以参考下 window 函数socket 的那部分




 

创建 一个 通信连接 并返回 一个套接数值.


好了 我们来 找一下 这个值吧.

从模拟器我们可以看到 ,这个模拟器 在打开的时候 会连接到 服务器段.这个时候我们从 套接数下手

打开CE  搜索  EC (此次 套接数的 值 )


 

出来17个 ,绿色的 是 基址. 可以排除了 .因为 套接数 的地址不可能不会发生变化.

把剩余的7个都选中 

这个时候我们如何确认 7个中是我们要找的呢?



 

将  所有的地址改成不同的值  这个时候 我们开始断 加血.



 
断下来以后 我们发现 EC的值 变成了 EC2了

这个表明 用CE修改成 EC2的地址就是我们要找的



 

在命令行输入  dd 009E1AE0  (每个人的地址都不一样)

就会以 地址 的形式 显示出 数据的类型

*da  是汇编代码类型

*dc  是 文本类型

*dx 是短行 16进制

*db 是16位显示

* 其他的我就不列举了 网上有很多的.

然后我们下硬件断点 ,然后重新运行 (因为只有重新运行的时候才会重新连接,才会往写入套接字)

断在了程序入口处  我们按F9  断在了 一个 代码里  但是 我们并没有发现 有套接字的写入操作

看来这步 是行不通的.我们换一个方法 我们来断 socket  像 send 一样



下 bp socket


选择  运行 重新开始  来重启程序  为什么要重启呢?因为我们要找写入 谁写入了套接数地址的值

重新运行后 断在 程序 开始的地方  按下 F9  运行


 


程序会立马断在这里 .这里堆栈显示了  socket  函数 和 他所需要的参数.

这里 我们按 ALT+F9  返回 程序领空.  (CTRL+F9 是返回上一层  这里我们可以用ALT+F9直接返回到程序段)






 


好了  返回到这里  .这里就是 SOCKET 的代码了 .在CALL这里下段

然后 在 重新运行 一次    断在程序入口处  按运行  断在了刚刚我们断的CALL地方


把  bp socket 的断点 删了

在按F8  单步运行 


这个时候 CALL  返回了  SOCKET套接数  放在EAX寄存器里




 


这个就是我们所需要的东西...


好了 我们用代码注入器  调用 socket()  取到一个套接数值


push 0
push 1
push 2
call 71A24211

这个CALL比较简单  所以我不做多的分析了


接下来 我们把  EAX的值 读出来 放入一个空白的内存里




 

搜0  随便选一个 空白内存

我这里 是    40300C

把这个地址写入  EBX
mov ebx,40300c
然后把 EAX的值传入到这个指针里
mov [ebx],eax



 

好了 套接数的值 读取出来了 每点一次都会得到一个新的值.


我们回顾 前面 send  函数 把新的套接数代替 send里的套接数 发现 数据发送不成功 服务器没有反应
看来每次连接 都是固定的值 .新的套接数并不能用于旧的链接~



这里可以看出来  socket()  函数 调用的过程  有兴趣的可以跟进去看看 WINDOWS是如何操作的.


或者 跟踪 socket()  后面 看看程序时如何 运行的  在对比下 源代码  你就会有新的认识.



====================send在易语言里的编写==================


 

在易语言插入 DLL命令,这样便可以使用send函数了.当然 直接使用是没效果的,我们还没连接目标.




=====================recv函数的调用====================

recv是用来接收封包的函数

我们先来看看 MSDN 里recv的解释



 

int recv( SOCKET s,    char FAR *buf,      int len,    int flags    );

第一个参数 socket  很熟悉吧 套接字
第二个参数  用来存放接收到的数据.指针类型
第三个参数  是长度
第二个参数 是标志


*注意协议接收到的数据可能大于buf的长度，所以 在这种情况下要调用几次recv函数才能把s的接收缓冲中的数据copy完。recv函数仅仅是copy数据，真正的接收数据是协议来完成的

我们来看看 recv 在堆栈里的形式  下bp recv  点加血 断下来后我们看看堆栈窗口
(记住把send 断点取消了要不然容易搞混了)


 


套接字是 F0
数据存放指针地址是 10eeef4
接收到大小 4
标志 0



 

右键选中 堆栈里的 数据地址  选中 数据窗口跟随



*数据窗口跟随  在数据窗口 显示 选中地址的内存里的值


 

我们接收到的 数据就是 jx27


 

在服务端可以看到 当前血量是27


在以前弄加血挂的时候 一般都会用一个时钟来循环处理 ,但这种方法总会有没来得及处理的状况发生,有一句话，监视不如自觉.外挂的最基本的一个功能 就是保证角色不死,即使用1MS检测一次也会有不少的漏过加血的机会,特别是去血比较大的情况下,这个时候 HOOK recv遍可以解决这个问题.如何hook recv  请看后面的hook api 教程 .


总结:

*send 函数的应用
*recv 函数的应用
*socket 函数的应用
*调用系统函数是一种比较方便的方法 ,它在于比较方便写入只要知道封包的结构,只要调用一个函数便能实现所有的功能.
*多用OD跟一下系统某些常用的函数,这会加深你对函数的理解及应用.

模拟器下载地址：