Nirvana

　　共享软件是目前世界上软件业比较热门的话题，国内更是如此。成千上万的中国程序员以极大的热情投入到这个领域来，都憧憬着用辛勤的劳动获得丰厚的回报；但，实际并非如此，绝大多数的人都铩羽而归。值得注意的是：除了软件设计和技术上的原因外，最大的原因就是共享软件被破解（Crack）了……
　　
　　面对破解
　　
　　一个做共享软件的作者，面对的是已经形成团伙的众多破解高手，国内的什么CCG、BCG，国外的eGis、King、Core、TNT、DAMN和TMG，皆为水平一流的破解组织。全球盗版软件不少于80%都是由他们的破解的，技术实力连大软件公司都不可小视。
　　
　　看到这里，你是否已经灰心了?别怕，虽然目前我们理论上无法完全避免被破解，但如果能够有效地拖延被破解的时间，并充分打击破解者的自信心，是可以让破解者无法忍受这种折磨从而最终放弃的。
　　
　　破解，通常的做法有两种——暴力破解（爆破）和写注册机。笔者就自己积累的经验来依次讲解每种破解方法的原理和应对方法，某些关键的例程讲解（Delphi代码），使用C++和VB的朋友可以自己稍微修改一下。希望这能对一些新手有些帮助，能够更有效地保护自己的劳动成果。
　　
　　认识暴力破解
　　
　　暴力破解简称“爆破”，这是破解手段中最常见的，也是最简单的破解方法。该法最适合于对付没有CRC校验的软件，破解新手乐于采用。
　　
　　大凡共享软件，验证是否注册大多采用if条件语句来进行判断，即使你采用了什么RSA或ECC等强力加密算法，也免不了使用if条件语句。这里就是共享软件最为危险的地方，也是爆破手孜孜不倦所寻求的目标。
　　
　　例如，你的注册函数类似如下：
　　
　　｛利用RSA进行注册码的数字签名验证｝
　　if RSAVerify（MD5（Key），MD5（Code），e，n）then
　　ShowMessage（’注册成功!’）
　　 else
　　ShowMessage（’注册失败!’）；
　　
　　｛这里Key是用户输入的注册码，是由你发送给注册用户的，Code是根据用户输入的用户名自动计算出来的注册码，e是RSA算法的公匙，而n是RSA算法的模数。｝

　　第一次过招
　　
　　上例注册函数即使使用了强劲的RSA算法进行注册码验证，但依然很容易被破解，我们只要把这里修改为：
　　
　　将逻辑判断改为否 
　　if not RSAVerify（MD5）Key），MD5（Code），e，n）then
　　ShowMessage（’注册成功!’）
　　else
　　ShowMessage（’注册失败!’）；
　
　　　这时戏剧性的结果会产生：随便输入任何注册码都可以注册通过，相反输入正确的注册码却无法通过注册。
　　
　　要破解这样的软件就必须先反汇编或者跟踪你的程序，找到判断注册码的cmp、test等汇编指令后的关键跳转指令处，通常是je、jz之类的汇编指令，把它们修改为jne或jnz即可，这样常常只需要修改一个字节就可以完美破解了。
　　
　　目前大部分共享软件都是用以上方法进行判断，这也是为什么网上被破解的软件铺天盖地的主要原因。因为这样破解实在是太简单了……
　　
　　第二次过招
　　
　　其实只要把软件的关键代码嵌入到注册码或者注册文件中就可以充分防止破解。
　　
　　最简单的方法就是把关键代码（你的软件功能限制部分最关键而且最简单的一个函数）做成一个小DLL（动态链接库），用强力对称算法加密（密匙可以是主程序某一固定不变的部分或壳的特征Hash值）后生成一个注册文件（License文件，这格式只有你知道），或者Base64编码后生成一个注册表文件，用户可以双击导入注册表内。
　　
　　校验流程如下：已注册用户验证注册码时，先验证有没有文件，没有文件则自然受限制的功能无法使用。如果有注册文件，解密后即生成一个小临时文件。如果主程序被脱壳或者被修改（爆破），自然Hash值密码不符，解密出来的肯定都是垃圾码，没有一点用处。只有没有被修改的主程序才能正确地解码，而且当然只有解密正确的文件才是一个真正的DLL文件，才能被GetProcAddress函数找到欲调用的关键函数地址。这样只有已注册用户才可以享受到你的软件的全部功能了。如此一来，Cracker破解你的软件就变得很困难了。
　　
　　首先，他如果没有注册文件，即使他把主程序脱壳了，由于受限制的部分和注册文件是关联的，他也根本无法修补完整。
　　
　　第二，即使他得到了你的注册文件，由于是加密文件，他也无法直接利用，这样就逼迫他去拆解你的算法，这可是他们最不愿意碰到的事情啊!如果到了这一步，只有真正对加密算法有研究的Cracker高手才会继续破解下去。
　　
　　第三，你是可以用些小技巧来使他的破解工作更加繁锁。这里我推荐大家使用DSA公开密匙加密算法，它和RSA一样，可以进行数字签名（RSA还可以加密，DSA则只能进行数字签名）。笔者这里选用它的原因就是它有一项非常实用的特性：随机数填充机制。即DSA每次签名都要使用一个随机数K，正因为有这个K的存在，即使是相同的用户名和机器识别码，由DSA加密过的每份注册文件都不会相同。这对Cracker拆解你的注册文件来说是一个极大的障碍。

　　第四，即使他得到了解密后的DLL文件，他也需要大幅度地修改主程序或者把你的DLL部分的关键代码拆出来添到主可执行文件中。这就看他对PE文件格式理解得如何了。即使这样，如果你的程序中有大量的Hash校验和死机代码，你就耐心等着我们可爱的Cracker同志吐血吧……：）
　　
　　最后还要记住：用完这个DLL临时文件后立即从内存中卸载此DLL并删掉，而且注意在解密之前探测一下，系统中有没有FileMon这个威胁极大的探测器：
　　
　　｛探测FileMon｝
　　function DetectFileMon：Boolean；
　　begin
　　if CreateFile（PChar（’\\.\FILEVXD’），
　　GENERIC_READ or GENERIC_WRITE，
　　FILE_SHARE_READ or FILE_SHARE_WRITE
　　nil，
　　OPEN_EXISTING，
　　FILE_ATTRIBUTE_NORMAL，
　　0　 INVALID_HANDLE_VALUE then
　　Result：= True //如果有，就Down机!
　　else
　　Result：= False；
　　end；
　　
　　当然，你可以保护得更好一些：可以不采用临时DLL，而把解密后的关键代码用WriteProcessMemory这个API函数写入到主可执行文件自己进程被提交（Committed）的内存页面的指定位置去。这样由于磁盘上没有解密后的临时文件，破解更加困难。事实上，目前世界上最强劲的专业保护软件Amadillo就是用的这种方法。而且这种方法可以充分防止被调试器Dump。但实现起来比较困难，尤其是在WinNT 5以后的操作系统中。
　　
　　由于这种方法将注册文件和受限制代码惟一关联，爆破手拿到你的软件也只有干瞪眼。建议大家都给共享软件加上功能限制，这样比时间和次数限制更加安全。

关于内存地址的个人理解和操作原理

nirvana — Tue, 26 Dec 2006 15:27:24 +0000

最近看见太多人询问内存地址的作用和使用方法，我来做个大概的解释吧
内存地址，其实电脑的每个操作都会在内存中先存储，然后经CPU处理后返回内存最终显现出来，而内存里有个内存地址，是为了区分各种不同数据的，而每个地址则相对应一个数据。
网络游戏中，数据也会先存放到内存中，然后进行处理，包括坐标、血量、MANA等，其实所有信息都是在内存中一一存放并等待处理。处理完毕后结果将会返回原来的地址中（当然也有返回到其他的）。
通过以上的解释，大家可以明白一个道理，其实任何数据都是会下载到本地电脑上然后经过处理后再返回的（至于返回到网络和返回到本地就看数据的重要性了）包括网页的浏览等，任何在你电脑上可以看见的东西必定先存放到本地内存中或硬盘中等待处理后才会显现出来的。

内存和外挂：
说到这里当然要给大家举个例子了，就拿网络游戏来说吧。以前的网络游戏很多数据都是在本地电脑上进行处理和比对的，例如曾经的精灵，它的游戏币是在本地电脑上进行处理的，处理后的结果再返回服务器，这样就导致了当时的刷钱外挂，因为大家可以修改本地电脑上的内存地址中的数值，然后再返回给服务器。从以上可以知道单机游戏锁血锁蓝是多么简单的事了吧。因为所有的数据操作都是在本地运行计算的。
当然，还有的外挂是通过改变封包数据来达到效果的。例如魔兽世界加速外挂，比如我现在人物的坐标是0 0然后按照正常速度走的话下一秒坐标是1 1。因为魔兽世界是在本地对人物坐标进行处理，如果只是单一的改变本地游戏坐标的位置，或许你在自己电脑上会看见自己一下跑到 3 3的位置了，但实际游戏服务器上的人物还在1 1这个位置，那就毫无意义。我们可以截取发送坐标的封包，修改我们下一秒跨度的数值，向服务器发送我下一秒会在3 3的位置，这时服务器处理后你的人物就在3 3的位置了。当然，整个过程只是改变封包内的数据值，并没有向服务器多发送封包，所以有的人说是加速外挂给游戏带来了压力的说法是错误的。当然，运营商也可以通过检查你的日常数据来判断你是否使用外挂，所以是没有查不出的外挂，只有不愿意查的外挂。
而现在的网络游戏血、经验、等级、金钱等重要数据都是由服务器计算然后返回给客户端（就是我们），而且每次存放血、蓝等信息的内存地址在每次游戏的启动都会变化，在现在来说，修改其数值已经没有任何意义了，因为那只能让你在本地读取的数值不同而已，而真正的数据被存储在了服务器上，你无法修改。但是我们可以通过读取内存地址中的数值来精确我们脚本的计算。

脚本与读取内存地址：
例如我要做一个脚本，需要在血或蓝少于一个具体的值的时候加血加蓝，这时候我们就可以采用内存地址的读取，因为这种做法可以让脚本以最精确的方式去加血加蓝，而不是去看血条蓝条（其实血条蓝条这时候已经根本不重要）。在按键精灵里
有这么一个脚本。
VBSCall ReadMemory(内存地址：整数（16进制）,类型：0-字节 1-整数 2-长整数,输出值-所读取的内容：长整型变量)

实际应用（中间的内存地址为假设）：
VBSCall ReadMemory( &H400000,2,xue)
这句脚本的意思为，&H400000为读取内存地址400000中数值；2为读取类型，为长整数；xue则把读取出来的数值保存到xue这个变量中去。
如果这个400000的地址是用来储存血量的。那我们就可以对xue这个变量来进行判断计算。实际应用如下

If xuea and y>b
moveto 300 500
//以上坐标为虚拟，根据游戏不同自己更改，以下放入这个游戏里移动的移动方式的脚本
endif
//如果两个坐标都大于我们希望保存的地方，我们就开始向另一个方向移动

由此我们可以生成
if xa and yb
if x=a and y=b
一共5种不同的处理方法，这样让人物回到原来的点继续开始打怪就可以轻松制作原点挂机的脚本

说了那么多，一定会产生一个很大的问题，如何查找游戏内的内存地址。
内存地址的查找
   我一般用金山游侠例如我要找红，先在自己满血的时候输入上限，然后搜索，这时候会搜索出很多地址，一些是代表你当前的红，和你的上限，还有一些正好是搜索时碰巧一样的。
   OK，在结果里再搜索一次，会去掉一些，这样搜索3次基本上结果已经很少了，但还不准确。
   现在，你要做的是就是让自己死了，不同游戏可能不同，死的时候血是0，那就去自杀吧（如果掉经验用小号）。
   在结果里用0搜索一次。
   别以为这样就结束了，这次要让自己不死，那就让自己少点血，我一般采用脱掉加血上限的装备，让自己的血减少。
   依照以上方法反复尝试，最后确定一个地址。
   地址出现以后别高兴太早，现在很多游戏内存地址是变动的（至少每次开游戏时就变动），所以可能这次管用，到下次还要重新搜索。

Nirvana

近期帖子一览

索引

存档

Tags

启用新域名

如何面对高水平的破解组织　谈暴力破解应对

关于内存地址的个人理解和操作原理

编写游戏外挂原理

外挂编写原理

关于API HOOK拦截封包原理

有关API HOOK方面的一些浅释

用SEH技术实现API Hook

Nirvana

近期帖子一览

索引

存档

Tags

启用新域名

如何面对高水平的破解组织 谈暴力破解应对

关于内存地址的个人理解和操作原理

编写游戏外挂原理

外挂编写原理

关于API HOOK拦截封包原理

有关API HOOK方面的一些浅释

用SEH技术实现API Hook

如何面对高水平的破解组织　谈暴力破解应对