動態記憶體(1)-搜尋程式碼

作者：小華
來源：http://ibf.tw/HuLXD
備註：如果作者不希望被轉帖到此處，請告知，小弟會馬上刪帖。
------------------------------------------------------------------------------------- 

玩過PC遊戲的都知道市面上有一些遊戲修改器可以做一些修改遊戲記憶體內的資訊來達到你的主角能力值變強或是有用不完的金錢...等。

今天我們要探討的是網路遊戲的修改，其實不能算是修改啦，因為對於網路遊戲來說，你無法使用這種方式去修改相關資訊，因為你的主角資訊是放在伺服器端，然後透過網路傳送資訊到你的主機，接著再更新到你的主機上面的記憶體中，例如: 血量：
CMP EDX,EDX
JZ LABLE1
MOV [ESI+228],EDX
...
LABEL1:

...
例 如上面的範例，他會去檢查血量有沒有變化，如果有他才會放進去[ESI+228]的記憶體位址中，因此EDX存放著伺服器端傳送過來的血量資料，然後放到 你的主機的記憶體位址[ESI+228]的地方，這邊的記憶體位址指的是位址空間，所謂的位址空間是指每個行程都有4G的虛擬記憶體位址，就好比說VC寫 的程式在載入記憶體的時候會被固定放在某個位址上去，然後我們就可以知道某段位址範圍放的是"程式碼"。

上面有看到一個 [ESI+228]的記憶體位址，由於網路遊戲怕你很容易就找到他的記憶體位址，所以一般會把這個位址用指標方式來重新配置記憶體，簡單說就是你每次找到 血量存放的位址會不一樣，所以稱為動態記憶體方式來存放人物資訊，也因此我們要討論的是如何得到這個指標指向的位址，那麼就不用怕他一直變動了，所以由上 面的範例可以知道ESI會一直變動，所以我們的目標就是得到ESI的值。

※ESI+228h = 血量位址，每個遊戲不一樣，所以不見得都是用ESI來存放，另外也不見得是+228h

在進入正題前先說明如何去得知你的遊戲是如何把這些資訊放進去記憶體中，我們會使用的工具如下:
1.WinXP
2.SoftIce
3.任何遊戲修改工具 ex: FPE, GameMaster...等

(Step 1): 首先先開啟你的網路遊戲，然後利用遊戲修改工具找到你的血量的記憶體位址(找的方式跟以前一樣，就是先找一次血量，然後進入遊戲改變一下血量，然後再找一 次，一直重複到剩下來的位址，或是利用人物ID去搜尋也可以)，例如找到的位址是12ABAC00h， 然後按下Ctrl+D 進入SoftIce，進入SoftIce後鍵入BPM 12ABAC00 W ，意思是說設定一個中斷點，當這個記憶體位址12ABAC00 被寫入Write的時候要中斷，接著按下Ctrl+D 回到遊戲中

(Step 2): 回到遊戲後隨便改變一下你的血量(喝藥水或是放法術)，然後你就會看到SoftIce 產生了一個中斷，然後進入到SoftIce 畫面(如果有攔截到，就會自動進入SoftIce，如果沒攔截到就可以能你找到的位址不對)

(Step 3): 在SoftIce 中你會看到類似下面的程式碼:
001B:44717A MOV [ESI+228],EDX
001b:44717E ....

他所代表的意思是說你的遊戲主程式載入到記憶體後負責更新血量到記憶體位址12ABAC00h的程式碼是被放在xxxx:44717A ，而程式碼是 MOV [ESI+228],EDX，
你可以在Softice 中鍵入指令 D ESI+228 ，他會把ESI+228的記憶體位址傾印出來，所以你可以在螢幕上看到你的血量值。

(Step 4) : 拿筆把44717A 這個位址抄下來，然後把你的遊戲關閉掉然後重新啟動，重新進入遊戲後重複放面的Step1~3 ，如果每次都是停在44717A，那麼就恭喜你，你已經找到他的動態指標的程式碼的地方，接著就可以想辦法取得ESI 的值了。