某PC游戏残血ACE反作弊ring3下的绕过分析

协议算法开发

于 2025-02-21 18:22:02 发布

阅读量761

点赞数 7

分类专栏：游戏破解文章标签：游戏

本文链接：https://blog.csdn.net/2503_90751789/article/details/145783660

版权

游戏破解专栏收录该内容

5 篇文章

订阅专栏

前言

研究仅供学习交流目的，请勿用于任何违法用途

前几个月就听说了mw在新版本上实装了ACE反作弊，上个月有空的时候去研究了一下，发现绕过方式出奇的简单，最近有空就分享一下分析过程吧

分析过程

尝试

正常启动游戏，又是那个熟悉的蓝色UI

刚开始先是尝试了很多ring3下常用的绕过方法，如删除驱动文件，关闭驱动句柄等等
但都会触发反作弊的奇奇怪怪的检测，然后触发异常，最后没办法也就只能去具体分析了

分析

对比更新前的目录，发现在更新之后多了一个minigameappbase.dll，IDA启动看两眼
看一眼调试信息就知道这个就是加载ACE的模块了，不过很明显有加壳什么的，也没有进一步探究了(太菜了)

转而去分析加载这个模块的minigameapp.exe，很明显他也加壳了，难道接下来只能硬刚ACE了吗

nonono! 我们还可以去分析一下它在实装ACE前是什么样的
这不看不知道，一看吓一跳啊，原来这玩意就仅仅只是调用了libiworld.dll中的WinMainEntry导出函数而已...
顺便去瞟了一眼libiworld.dll，也没有发现什么可疑的东西

结果看起来已经很明显了，那就直接把原来的minigameapp.exe给替换过来，这样不就既可以正常加载游戏，又不会加载ACE模块了
nice，理论存在，开始实践!
诶可恶，居然触发了游戏的文件校验自动更新了程序

图片描述

接着就得去分析一下怎么绕过文件校验部分，因为minigameapp.exe是由MicroMiniNew.exe启动的，那么就分析一下看看他在启动前后者还做了些什么
跟了一下ReadFile的交叉引用，没有发现跟文件校验有关的代码，猜测是不是有调用其他的dll
于是看了一下LoadLibraryA的交叉引用，发现了一个有趣的东西，start.mnw是个什么东西?，很可疑，拉IDA里分析一下