HANA5 游戏逆向

已于 2024-08-31 09:54:33 修改
阅读量901 收藏 26
点赞数 15
分类专栏： 游戏逆向 文章标签： 游戏
于 2024-08-31 00:18:01 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/ULGANOY/article/details/141730023
版权

前言

某著名百合R18游戏
以前尝试逆过一次，半途而废了。今天想起来再逆一下，记录下逆向的过程。

游戏文件结构：
在这里插入图片描述

游戏资源extract

主要目标是弄明白游戏资源：SE、CG这些怎么加载解密的。

还是像万华镜那样下三个API断点：

在这里插入图片描述

以SE为例分析结构：

0~8：签名

0~54：固定结构的头部

剩下读的A0刚好读到这里：在这里插入图片描述

最后的65读到这里：

在这里插入图片描述

0~7：签名

0~53：固定长度头部

54~END1：

END1~END2：文件名，长度应该是来自0C处的值。

再看看MSD结构分析下：

0~7：签名

0~53：固定长度头部

54~END1：

END1~END2：文件名，长度来自0C 0D的WORD值。

08 09处的WORD指示的是END2结束后下一部分开始的位置。

先跟踪下DATA的读取调用，在sub_43C330(ReadHeader)

跟一跟sub_43C1A0看到对三种版本进行了判断：

在这里插入图片描述

HANA5对应的都是FJSYS，所以return 4。

可以看到这里就有0x54这个值（固定头部长度）出现了：

在这里插入图片描述

后面两段内容的读取就在这里：

在这里插入图片描述

调试了下，除了那个*(_DWORD *)(this+44)!=4不明所以外，其它就是原先想的那样，读取了后面两部分的内容。

掠过后面几个文件读取后，在这里发现了异样：

在这里插入图片描述

OP.MPG，但我搜索本地却没有这个文件🤔。内存中的也能这么读？（不行吧）

(嘶，
在这里插入图片描述

但是我看没引入CreateFileMapping啊。。。)

对应在这个函数sub_442BC0(CVideoPlayer::Play)

好吧，这里读取是失败了的。。。（突然想到可以自己放一个OP.MPG，楽）

在这里插入图片描述

对应的这里应该就是这个ogg：

在这里插入图片描述

可以跟ogg文件对比，格式是一样的：

在这里插入图片描述

对应的是BGM文件的01ED处：

在这里插入图片描述

也就是根本没有压缩，加密。。。服了。。。

提取出来看看。

01ED开始3D7C95字节。

确实能够成功播放：

在这里插入图片描述

逆天，小日子真就不加密的。。。

下面就是找一下对应的offset字段和size字段是在header哪里设置的。

现在回来看就很清楚了：

在这里插入图片描述

写个脚本全部提取出来。

import struct
filename = r"BGM"
with open(filename,"rb+") as f:
    data = f.read()

start1 = 0x50
num = 0
size = []
offset = []
idx = data[start1+4]
while (1):
    size.append(struct.unpack('<I', data[start1+0x8:start1+0xC])[0])
    offset.append(struct.unpack('<I', data[start1+0xC:start1+0x10])[0])
    num += 1
    if(idx+8 != data[start1+4+0x10]):
        break
    start1 += 0x10
    idx = data[start1+4]

print(num)

def extract(offset,size,num):
    output = "M" + str(num).rjust(2,"0") + ".ogg"
    with open(output,"wb+") as f:
        f.write(data[offset:offset+size])
    print(f"[+] {num} : Done!")

for i in range(1,num+1):
    extract(offset[i-1],size[i-1],i)

在这里插入图片描述

在这里插入图片描述

MSD的格式也是类似的：

在这里插入图片描述

只是不知道这MSD是啥。。

像是类似配置文件？

DATA也是一样，只是bmp的size是固定的：

在这里插入图片描述

稍微改改脚本就能提取：

import struct
filename = r"DATA"
with open(filename,"rb+") as f:
    data = f.read()

start1 = 0x50
num = 0
size = []
offset = []
idx = data[start1+4]
while (1):
    size.append(struct.unpack('<I', data[start1+0x8:start1+0xC])[0])
    offset.append(struct.unpack('<I', data[start1+0xC:start1+0x10])[0])
    num += 1
    if num == 7:
        break
    start1 += 0x10

print(num)

def extract(offset,size,num):
    output = "M" + str(num).rjust(2,"0") + ".bmp"
    with open(output,"wb+") as f:
        f.write(data[offset:offset+size])
    print(f"[+] {num} : Done!")

for i in range(1,num+1):
    extract(offset[i-1],size[i-1],i)

在这里插入图片描述

接下来就提取IMG，结构也是一样的。

只是注意到每个PNG前都有0x60 size的MGD文件（？）

稍微改下脚本：

import struct
filename = r"IMG"
with open(filename,"rb+") as f:
    data = f.read()

start1 = 0x50
num = 0
size = []
offset = []
idx = data[start1+4]
while (1):
    size.append(struct.unpack('<I', data[start1+0x8:start1+0xC])[0])
    offset.append(struct.unpack('<I', data[start1+0xC:start1+0x10])[0])
    num += 1
    start1 += 0x10
    if start1>=0xC50:
        break

print(num)

def extract(offset,size,num):
    output = "M" + str(num).rjust(2,"0") + ".png"
    with open(output,"wb+") as f:
        f.write(data[offset+0x60:offset+size])
    print(f"[+] {num} : Done!")

for i in range(1,num+1):
    extract(offset[i-1],size[i-1],i)

没问题，成功提取：

在这里插入图片描述

SE跟前面的BGM没啥区别，一样的提取：

import struct
filename = r"SE"
with open(filename,"rb+") as f:
    data = f.read()

start1 = 0x50
num = 0
size = []
offset = []
idx = data[start1+4]
while (1):
    size.append(struct.unpack('<I', data[start1+0x8:start1+0xC])[0])
    offset.append(struct.unpack('<I', data[start1+0xC:start1+0x10])[0])
    num += 1
    start1 += 0x10
    if start1>=0xf0:
        break

print(num)

def extract(offset,size,num):
    output = "M" + str(num).rjust(2,"0") + ".ogg"
    with open(output,"wb+") as f:
        f.write(data[offset:offset+size])
    print(f"[+] {num} : Done!")

for i in range(1,num+1):
    extract(offset[i-1],size[i-1],i)

在这里插入图片描述

至此，游戏资源的提取就弄明白了。(其余的格式不清楚，应该是引擎自己解析罢)

游戏进度存储

接下来我还想知道游戏进度是怎么存储的？

也就是这几个文件的结构：

在这里插入图片描述

GAME%d.SAV

打开游戏，点击start，会断在这里：

在这里插入图片描述

在sub_415E70函数里

在这里插入图片描述

这里有个MD5校验？

所以每个SAVE开头的0x20就是md5 hash

在这里插入图片描述

调试看这里，很显然MD5两者是不匹配的。

在这里插入图片描述

是一个循环比对MD5，直至找到相同。

（所以感觉不应该点START，应该点LOAD。。。）

再点一遍LOAD，可以发现逻辑：

在这里插入图片描述

先加载第一页的SAV（尝试读取）1~ 14，我点了第二页又继续加载15~ 28

在这里插入图片描述

我又重新保存了一个，发现这个MD5检测的可能是TIME，太久的SAVE就会不能加载。。。

紧接着后面有4个CFile::Read

  CFile::Read_sub_43B610(Buffer, 4u);
  CFile::Read_sub_43B610(lpBuffer, 0x40u);
  CFile::Read_sub_43B610(&nNumberOfBytesToRead, 4u);
  CFile::Read_sub_43B610(v17, 8u);

看SAVE文件像是用位图这种来保存每个场景的选择？

在这里插入图片描述

这里做个对比，LOAD 1过后，点击一次再保存。

发现唯一差异点：

在这里插入图片描述

但切换一个场景（图片变了）后，就有很大的差异

在这里插入图片描述

找找之前extract的bg14a，对应第8张

在这里插入图片描述

果然是

在这里插入图片描述

那存储逻辑到这里大概就明白了，还有很多细节没必要逆引擎的解析过程了。

CONFIG.SAV

最后关注一下这个CONFIG.SAV的逻辑

如果是START的话是这种：

在这里插入图片描述

所以我很感兴趣为什么我每点一个场景，切换都要读取一遍CONFIG.SAV？

这里也采取比较的方式。对于两个场景，比较CONFIG.SAV的区别。

注意到全部是1h大小的差异：

在这里插入图片描述

x32调试看看到底读取了CONFIG.SAV的什么？

跟到这里：

在这里插入图片描述

对应CONFIG.SAV的这里：

在这里插入图片描述

后面就是一堆奇奇怪怪的操作：

在这里插入图片描述

这里的v15 += 18也是往后移动72字节。

这里就当在计算一个不知道是什么鬼的值。。。

对于Sxxx这些段计算。

再后面的这里：

在这里插入图片描述

由黄色那句，知道v13往后移动72B，

可以看到这样一个结构刚好72字节：

在这里插入图片描述

关键是这个函数sub_447D10

里面用了SSE指令集，很难弄清楚在干啥。。。

在这里插入图片描述

。。。

但是问问GPT：

这段代码是一个函数 sub_447D10 的实现，功能是将一个 __m128 类型的数组从源地址 a2 复制到目标地址 a1，并且根据条件采用不同的复制方式。它包括了对内存对齐和性能优化的考虑，尤其是针对 SIMD 操作进行了优化。

该函数实现了一个高效的内存复制功能，支持标准和优化路径，根据内存对齐条件选择适当的复制方法。优化路径利用了 SSE 指令集，进行对齐的数据块复制，并采用流式存储和预取优化，旨在提高性能和减少缓存未命中的影响。

牛逼。。

就是复制。。。
GPT注释的代码：

__m128 *__cdecl sub_447D10(__m128 *a1, __m128 *a2, unsigned int a3)
{
  __m128 *result; // eax
  __m128 *v5; // edi
  unsigned int v6; // ecx
  __m128 v7; // xmm1
  __m128 v8; // xmm2
  __m128 v9; // xmm3
  __m128 v10; // xmm4
  __m128 v11; // xmm5
  __m128 v12; // xmm6
  __m128 v13; // xmm7
  unsigned int v14; // ecx
  __m128 *v15; // esi
  __m128 *v16; // edi
  unsigned int v17; // ecx
  unsigned __int64 v18; // mm1
  unsigned __int64 v19; // mm2
  unsigned __int64 v20; // mm3
  unsigned __int64 v21; // mm4
  unsigned __int64 v22; // mm5
  unsigned __int64 v23; // mm6
  unsigned __int64 v24; // mm7
  unsigned int v25; // ecx

  result = a2;

  // Check if special conditions for optimized copy are met
  if ((byte_8347EC & 4) == 0 || a3 < 0x80 || ((unsigned __int8)a2 & 0xF) != 0 || ((unsigned __int8)a1 & 0xF) != 0)
  {
    if ((byte_8347EC & 1) == 0 || a3 < 0x40 || ((unsigned __int8)a2 & 7) != 0 || ((unsigned __int8)a1 & 7) != 0)
    {
      // Standard memory copy if conditions are not met
      result = (__m128 *)a3;
      qmemcpy(a1, a2, a3);
    }
    else
    {
      // Optimized memory copy for 64-byte aligned and properly aligned memory
      v15 = a2;
      v16 = a1;
      v17 = a3 >> 6;
      do
      {
        v18 = v15->m128_u64[1];
        v19 = v15[1].m128_u64[0];
        v20 = v15[1].m128_u64[1];
        v21 = v15[2].m128_u64[0];
        v22 = v15[2].m128_u64[1];
        v23 = v15[3].m128_u64[0];
        v24 = v15[3].m128_u64[1];
        v16->m128_u64[0] = v15->m128_u64[0];
        v16->m128_u64[1] = v18;
        v16[1].m128_u64[0] = v19;
        v16[1].m128_u64[1] = v20;
        v16[2].m128_u64[0] = v21;
        v16[2].m128_u64[1] = v22;
        v16[3].m128_u64[0] = v23;
        v16[3].m128_u64[1] = v24;
        v15 += 4;
        v16 += 4;
        --v17;
      }
      while (v17);

      // Handle any remaining bytes that don't fit into the 64-byte aligned blocks
      v25 = a3 & 0x3F;
      if ((a3 & 0x3F) != 0)
      {
        do
        {
          v16->m128_i8[0] = v15->m128_i8[0];
          v15 = (__m128 *)((char *)v15 + 1);
          v16 = (__m128 *)((char *)v16 + 1);
          --v25;
        }
        while (v25);
      }
      _m_empty(); // Ensure all SSE operations are completed
    }
  }
  else
  {
    // Optimized memory copy with prefetch and streaming stores
    _ESI = a2;
    v5 = a1;
    v6 = a3 >> 7;
    do
    {
      __asm { prefetchnta byte ptr [esi] }
      v7 = _ESI[1];
      v8 = _ESI[2];
      v9 = _ESI[3];
      v10 = _ESI[4];
      v11 = _ESI[5];
      v12 = _ESI[6];
      v13 = _ESI[7];
      _mm_stream_ps(v5->m128_f32, *_ESI);
      _mm_stream_ps(v5[1].m128_f32, v7);
      _mm_stream_ps(v5[2].m128_f32, v8);
      _mm_stream_ps(v5[3].m128_f32, v9);
      _mm_stream_ps(v5[4].m128_f32, v10);
      _mm_stream_ps(v5[5].m128_f32, v11);
      _mm_stream_ps(v5[6].m128_f32, v12);
      _mm_stream_ps(v5[7].m128_f32, v13);
      _ESI += 8;
      v5 += 8;
      --v6;
    }
    while (v6);

    // Handle any remaining bytes that don't fit into the aligned blocks
    v14 = a3 & 0x7F;
    if ((a3 & 0x7F) != 0)
    {
      do
      {
        v5->m128_i8[0] = _ESI->m128_i8[0];
        _ESI = (__m128 *)((char *)_ESI + 1);
        v5 = (__m128 *)((char *)v5 + 1);
        --v14;
      }
      while (v14);
    }
    _m_empty(); // Ensure all SSE operations are completed
    _mm_sfence(); // Ensure all stores are completed
  }
  return result;
}

那么就当作复制来看。

a2复制到a1

可以看到复制后就是一些位图的形式

在这里插入图片描述

总结来说就是对CONFIG.SAV的文件进行读取，复制，以一种位图的形式保存游戏状态。

到这里，大致也就逆的差不多了，至于游戏文件怎么加载，怎么解析，应该去看游戏引擎的源码，逆向的话就太繁杂了、也没必要。

总结

Nippon真就不加密？？？
记得以前逆XP3的时候，Nippon也是先加密再压缩。。。然后XP3的加密也仅仅是单字节异或。。😂

总结逆向过程就是：动静结合分析程序逻辑，结合文件结构推测结构体，找出规律后extract游戏资源。

N0zoM1z0
关注
专栏目录
MFC软件算法逆向分析详解及技巧
m0_67194883的博客
09-02 189
对于直接使用SDK而不使用第三方库的程序，我们要定位到程序的“关键代码”并不困难。通常在CreateWindow函数或DialogBoxParam函数下断点，可以直接获得其主界面的窗口过程或对话框过程。但是对于使用了MFC的程序，我们找到的窗口过程或对话框过程是在MFC提供的程序框架的内部，经过层层的分发和筛选，消息才最终到达用户代码，直接分析起来比较繁琐。幸好，有一个Olly的脚本，可以直接帮助我们找到诸如OnOK()之类的函数。
HANA 1.0升级2.0
03-22
5. **规划** - **目标修订**：确定要升级到的HANA 2.0具体修订版，考虑其稳定性和所需功能。 - **源环境**：评估当前环境的硬件、软件配置，以及数据库的状态和数据量。 - **目标环境**：规划新环境的硬件和软件...
酷狗概念版signature逆向
weixin_57775169的博客
09-12 1338
使用frida工具，浅浅研究一下app逆向吧，这个案例算是入门级别没啥难度。Charles抓包工具抓包分析发现，在请求头有一个signature参数且长度为32，猜想大概率是md5加密，那么印证下结果是否正确。
CTF-reverse逆向分析解题常用脚本汇总
这个博主不懒，但Ta什么也没写~（私信互关24小时必回）
05-11 1166
注：本篇用于记录一些CTF-reverse中可能用上的脚本，脚本都来源于博主解出某道题后留下，如果遇上类似的题目，根据脚本中注释的提示更改对应的密文密钥或条件即可快速解题！ 持续更新！！点个收藏关注不迷路~
黑客赚钱的路子有多野？CTF逆向入门指南
Z4400840的博客
05-14 634
在CTF比赛中, CTF逆向题目除了需要分析程序工作原理, 还要根据分析结果进一步求出FLAG。逆向在解题赛制中单独占一类题型, 同时也是PWN题的前置技能。在攻防赛制中常与PWN题结合。CTF逆向主要涉及到逆向分析和破解技巧，这也要求有较强的反汇编、反编译、加解密的功底。1、常见算法与数据结构。2、各种排序算法, 树, 图等数据结构。3、识别加密算法与哈希算法代码特征,识别算法中魔改的部分。4、代码混淆, 代码虚拟化, 修改代码流程, 反调试等。5、软件加密壳是软件保护技术的集中应用。
【js逆向专题】4.python调用JS和扣代码
Regent Wan's Blog
09-01 898
PyExecJS是一个 Python 库，用于在 Python 环境中执行 JavaScript 代码。它实际上是对 ExecJS 库的 Python 封装，ExecJS 本身是一个通用的 JavaScript 运行环境的抽象层。使用PyExecJS，你可以在 Python 中执行 JavaScript 代码，而无需启动一个完整的 JavaScript 解释器。
HANA Studio
10-06
5. **64-bit兼容性**：由于HANA Studio是64位版本，这意味着它可以利用现代Windows系统的大内存空间，处理大数据量时更加高效。 使用HANA Studio，开发人员可以进行以下活动： - **数据建模**：创建和修改数据库...
SAP UI5 Reference for SAP HANA
02-13
SAP UI5与SAP HANA的结合，可充分利用SAP HANA的内存计算能力，实现实时数据处理和分析，为用户提供高效、直观的交互体验。 文档《SAP UI5 Reference for SAP HANA》提供了关于如何在SAP HANA平台上开发和运行SAP ...
HANA Studio 操作手册
02-14
《HANA Studio 操作手册》是一本为初学者量身定制的指南，旨在帮助新接触HANA（High-Performance Analytic Appliance）平台的用户快速掌握其开发与管理工具HANA Studio的使用方法，减少学习过程中的困扰。HANA ...
HANA System Replication
04-17
5. **持续数据同步**：解释如何监控和调整复制延迟，保证数据的一致性和完整性。 6. **故障检测与切换**：详细阐述如何设置故障检测机制，以及在故障发生时如何执行手动或自动的故障切换。 7. **性能优化**：提供...
【安卓逆向】一款3d地图软件的逆向破解过程
question55的博客
02-03 853
今天在应用商城看到一款"3d地图"软件，下载打开发现看街景啥的都要vip，连地图放大都要vip，这不能忍！首先先用mt管理器简单看看，发现是没有加壳的，然后我们拖进android killer进行分析首先我们先对"会员”这个字符串进行搜索进行搜索上面这个unicode编码，表示的字符串是“当前已是会员”，我们先来分析以下这段smali代码这两句表示调用canUse这个方法，参数是MAP_VR,返回值存到v0里面，然后后面进阶着进行了if-eqz的判断，然后是0的话就跳转，不是0的话就打印出字符串“已经是会员
【re】[HGAME 2023 week3]kunmusic -- .net程序逆向，z3库约束
question55的博客
11-17 605
NET 是一个免费的跨平台开源开发人员平台，用于生成许多不同类型的应用程序。凭借 .NET，可以使用多种语言、编辑器和库来生成 Web、移动应用、桌面应用、游戏和 IoT 应用。
开源项目教程：StrongR-Frida —— 动态代码插桩与逆向工程利器
gitblog_00540的博客
09-12 358
开源项目教程：StrongR-Frida —— 动态代码插桩与逆向工程利器 strongR-frida 项目地址: https://gitcode.com/gh_mirrors/st/strongR-frida ...
深度剖析反汇编工具Borg源码
最新发布
weixin_29050829的博客
09-16 1616
本文还有配套的精品资源，点击获取 简介：Borg是一款静态反汇编工具，其源代码是理解编译原理和逆向工程的宝贵资源。文章将探讨Borg源代码中的编程理念和技术细节，涉及VC++开发、反汇编技术、编译原理以及错误处理等方面。源代码使用Visual C++ 6开发，展示了动态地址解析、符号表解析、PE文件格式解析、控制流分析等关键技术。通过研究Borg源代码，开发者可以提升逆向工...
[转载]PC微信逆向分析 绕过加密来访问SQLite数据库
weixin_52006998的博客
09-02 401
微信，无疑是国内目前最为流行的应用软件，其在社交领域的霸主地位依然无人可以撼动！它不但撑起了庞大的腾讯软件帝国的一角，而且足以让腾讯傲立于BAT中国互联网三巨头之首。微信，改变了这个世界，而腾讯也成了无数优秀程序员梦想的归宿。围绕着微信这个软件的延伸，腾讯也无私地为代码世界贡献了近百个优秀的开源项目。从古到今，任何一个巨人，都是站在前一辈巨人的肩膀上而成长为新的巨人。百度如此，阿里如此，腾讯亦是如此。
逆向通达信 x 逆向微信 x 逆向Qt
weixin_40188446的博客
09-14 244
本篇在博客园地址https://www.cnblogs.com/bbqzsl/p/18252961 本篇内容包括： win32窗口嵌入Qt UI。反斗玩转signal-slot。最后通达信 x 微信 x Qt做手术。 Qt Alien Widget是一种广义的DirectUI。 在UI技术中，DirectUI和Alien Widget的概念有所重叠，但具体实现和应用场景有所不同。为了更好...
环境搭建2（游戏逆向）
m0_72827793的博客
09-14 388
貌似strcpy不是因为英文名字的问题，而是遇到""截断了。是不是因为文件夹的路径是中文的原因导致有乱码。strcpy函数出问题了。
Flutter逆向工程框架reFlutter安装配置完全指南
gitblog_09357的博客
09-13 421
Flutter逆向工程框架reFlutter安装配置完全指南 reFlutter Flutter Reverse Engineering Framework 项目地址: https://gitcode.com/gh_mirrors...
SAP HANA XS上的HTML5 UI开发工具包安装指南
这份指南是开发者在SAP HANA XS平台上部署和使用SAP UI5不可或缺的资源，涵盖了从开始到维护的整个过程。通过遵循文档中的步骤，开发者能够成功集成和利用SAP UI5来构建高效且具有吸引力的HTML5用户界面。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值