游戏指令与数据结构的筛查

游戏指令与数据结构的筛查

游戏指令和指令中所携带的数据结构的筛查是外挂制作的第二步，这一步并不是很难，但十分烦锁。游戏指令和其数据结构的筛查并无技巧可言，主要是通过多次重复比较数据而最终确定结果。
　　在筛查游戏指令和其数据结构之前我们需要对封包截获技术有所了解，同时能对当前流行的几款封包截获工具如FPE、WPE等有所熟练使用。然而由于某些游戏运行商会针对一些问题而制定相应对策，因此有些时候需要我们自己编写封包截获工具。自己编写封包截获工具的好处还在于可以具体针对某一款游戏而编制特定的工具，这之中最重要的是可以事先将加密数据解密成明码，为分析封包提供方便。
　　2.1　封包截获技术　根据具体的截获原理不同，封包截获技术可分为：一是Hook技术、一是socket重写技术。无论使用何种截获技术我们最终要跟踪的都是socket中的发送函数与接收函数，如send、recv等。
　　2.1.1　Hook原理　Hook原理是通过向应用程序中注入dll文件，并改写应用程序函数导入表中的DLL调用函数，Hook技术要求我们对可执行程序的文件即PE文件结构有所了解。
　　2.1.2　socket重写原理　socket重写原理是通过重写整个socket文件，用新写的socket文件代替原socket文件，并由新socket文件调用原socket文件中的函数，从而截获函数的调用过程。socket重写技术要求改写后的socket文件具有跟原socket文件相同的接口，否则程序调用将发生错误。
　　2.2　封包的分析　封包分析时最重要的就是尽量减少分析时的干扰，干扰越少越有利于我们能针对性地得到结果。因此封包分析时一般是将游戏角色尽量带到一个玩家或怪物比较少的地方，同时在分析出一个后尽量过滤一个。
　　2.3　分析结果的处理　封包分析完毕后，我们可以为每一个指令定义一个含义比较明确的代码，并为每条指令所携带的结构信息定义相应的数据结构，为指令中的状态码也定义相应的代码。为所有指令与数据结构进行相应的定义，可以使我们在后续的外挂代码书写过程中隐藏掉实现的细节。