扫雷辅助程序

最新推荐文章于 2023-11-13 16:35:04 发布
最新推荐文章于 2023-11-13 16:35:04 发布
阅读量1.6k 收藏
点赞数
分类专栏： Windows编程
扫雷程序的外挂貌似网上很多人都做过.但我相信肯定还是有很多和我一样的初学者还没有做出来或者正在努力中.所以我希望以下的文章能对大家有帮助.高手就自行飘过啦~文中肯定会有很多的不足的地方,错误也在所难免.因为我是第一次做这样的东西.以前只做过星际争霸的单机一键修改器.那个相对简单很多,因为直接用金山游侠搜索改变的数值就能找到对应地址.但是扫雷却不能这样.因为没有特定的数值拿给我们作搜索参考. 

★顺便给新建的群打个广告:不管你是菜鸟还是高手,只要喜欢编程.痴迷编程.都欢迎加入.群号:36260125

下面我就把我制作的全过程和心得给大家分享分享吧~~ 

首先我们需要了解一个API函数: 
BOOL BitBlt( 
HDC hdcDest,                   //指向目标设备环境的句柄 
int nXDest,                       //指定目标矩形区域左上角的X轴逻辑坐标。 
int nYDest,                       //指定目标矩形区域左上角的Y轴逻辑坐标。 
int nWidth,                       //指定源和目标矩形区域的逻辑宽度。 
int nHeight,                      //指定源和目标矩形区域的逻辑高度。 
HDC hdcSrc,                     //指向源设备环境的句柄。 
int nXSrc,                         //指定源矩形区域左上角的X轴逻辑坐标。 
int nYSrc,                        //指定源矩形区域左上角的Y轴逻辑坐标。  
DWORD dwRop             //指定光栅操作代码。这些代码将定义源矩形区域的颜色数据，如何  
//与目标矩形区域的颜色数据组合以完成最后的颜色。通常使用SRCCOPY 
)； 

  大家可能都知道,那些比较老或者是比较简单的游戏都是采用BitBlt函数利用双缓冲技术来画图的.双缓冲技术说白了就是先创建一张白纸,然后用BitBlt在白纸上做画.最后再用一次BitBlt把画了画的纸打到屏幕上.这样能有效避免屏幕的闪烁.所以我的思路就是拦截BitBlt函数.看它都做了什么. 
    
   了解了以上知识以后就可以开工了~ 
1.先用PEID查看程序是否有壳.结果显示:Microsoft Visual C++ 7.0 Method2 [Debug].没有加壳 

2.用OD打开扫雷程序.程序停留在此处 
01003E21 > $  6A 70         PUSH 70 
01003E23   .  68 90130001   PUSH winmine.01001390 
01003E28   .  E8 DF010000   CALL winmine.0100400C 
01003E2D   .  33DB          XOR EBX,EBX 
01003E2F   .  53            PUSH EBX                                 ; /pModule => NULL 
01003E30   .  8B3D 8C100001 MOV EDI,DWORD PTR DS:[<&KERNEL32.GetModu>; |kernel32.GetModuleHandleA 
01003E36   .  FFD7          CALL EDI                                 ; \GetModuleHandleA 
(以下地址省略)                           

  此时程序还没有运行起来,还没有进行画图.我们先来看看到底它调用了哪些API函数,在反汇编窗口点击右键-查看-所有模块间的调用.通过出现的调用信息发现它确实调用了Bitblt函数.真是太好啦!!和我们预想的一样.

按照我们的原计划拦截BitBlt.在"所有模块间的调用"窗口中找到BitBlt(方法是输入首字母)然后按F2下断点..F9运行程序.扫雷被运行了起来.可能你会觉得奇怪.按照我们的理论拦截了BitBlt函数后它就不该画出图呀.为什么能够运行呢.而且扫雷也被画了出来??先别急.现在用鼠标随便点击一个小方格.是不是断下了呢?既然我们的理论是双缓冲那附近肯定还有一个BliBlt函数.结果确实被我们找到了.另一个BitBlt函数就在下面一点点. 
这里是第一个BitBlt 

01002646  /$  56            PUSH ESI 
01002647  |.  FF35 245B0001 PUSH DWORD PTR DS:[1005B24]              ; /hWnd = NULL 
0100264D  |.  FF15 2C110001 CALL DWORD PTR DS:[<&USER32.GetDC>]      ; \GetDC 
01002653  |.  8B4C24 0C     MOV ECX,DWORD PTR SS:[ESP+C] 
01002657  |.  68 2000CC00   PUSH 0CC0020                             ; /ROP = SRCCOPY 
0100265C  |.  8BF0          MOV ESI,EAX                              ; | 
0100265E  |.  8B4424 0C     MOV EAX,DWORD PTR SS:[ESP+C]             ; | 
01002662  |.  8BD1          MOV EDX,ECX                              ; | 
01002664  |.  6A 00         PUSH 0                                   ; |YSrc = 0 
01002666  |.  C1E2 05       SHL EDX,5                                ; | 
01002669  |.  0FBE9402 4053>MOVSX EDX,BYTE PTR DS:[EDX+EAX+1005340]  ; | 
01002671  |.  6A 00         PUSH 0                                   ; |XSrc = 0 
1002673  |.  83E2 1F       AND EDX,1F                               ; | 
01002676  |.  FF3495 205A00>PUSH DWORD PTR DS:[EDX*4+1005A20]        ; |hSrcDC 
0100267D  |.  C1E1 04       SHL ECX,4                                ; | 
01002680  |.  6A 10         PUSH 10                                  ; |Height = 10 (16.) 
01002682  |.  6A 10         PUSH 10                                  ; |Width = 10 (16.) 
01002684  |.  83C1 27       ADD ECX,27                               ; | 
01002687  |.  C1E0 04       SHL EAX,4                                ; | 
0100268A  |.  51            PUSH ECX                                 ; |YDest 
0100268B  |.  83E8 04       SUB EAX,4                                ; | 
0100268E  |.  50            PUSH EAX                                 ; |XDest 
0100268F  |.  56            PUSH ESI                                 ; |hDestDC 
01002690  |.  FF15 5C100001 CALL DWORD PTR DS:[<&GDI32.BitBlt>]      ; \BitBlt 
01002696  |.  56            PUSH ESI                                 ; /hDC 
01002697  |.  FF35 245B0001 PUSH DWORD PTR DS:[1005B24]              ; |hWnd = NULL 
0100269D  |.  FF15 28110001 CALL DWORD PTR DS:[<&USER32.ReleaseDC>]  ; \ReleaseDC 

通过大致分析代码发现这个BitBlt貌似并没做什么有意义的事情,先不管它.


往下面翻一点点就会看见另一个BitBlt
通过对这个BitBlt的分析发现里面大有文章.为什么这么说呢?打眼一看就发现里面有很多的判断分支.我已经将大致的注解标在了后面.现在我们一句一句的看.

010026A7  /$  55            PUSH EBP                                 ;  保存EBP
010026A8  |.  8BEC          MOV EBP,ESP                              ;  指向栈顶

这两句就不说了.调用函数的常规格式

010026AA  |.  83EC 0C       SUB ESP,0C                               ;  申请3个局部变量每个4字节
这句注意了.程序申请了三个变量.我们依次命名为变量1变量2变量3每个4字节

010026AD  |.  33C0          XOR EAX,EAX                              ;  清零EAX=0
010026AF  |.  40            INC EAX                                  ;  EAX+1=1

不知道什么作用.暂时不管它

010026B0  |.  3905 38530001 CMP DWORD PTR DS:[1005338],EAX           ;  将EAX与[1005338]处进行比较

进行比较,为后面的判断(10026C0)做准备.我们查一下1005338中的值是9.记下来.

010026B6  |.  C745 F8 37000>MOV DWORD PTR SS:[EBP-8],37              ;  保存变量1=37
010026BD  |.  8945 F4       MOV DWORD PTR SS:[EBP-C],EAX             ;  保存变量2=EAX=1

这两句就进行了变量的赋值!变量1=37.变量2=1

010026C0  |. /7C 68         JL SHORT winmine.0100272A                ;  如EAX<[1005338]则跳(结束)

这里就进行了上面说的判断.即如果EAX<9则跳转...通过查看跳转的地址我们发现那实际是结束地址.

010026C4  |.  BB 60530001   MOV EBX,winmine.01005360                 ;  将地址1005360中的数据传给EBX

我们可以查到1005360地址处的值是10.记下

010026C9  |> /33F6          /XOR ESI,ESI                             ;  ESI=0
010026CB  |. |46            |INC ESI                                 ;  ESI+1=1


我们可以看见010026C9地址处有个箭头表明是可以从其他地方跳转上来. 即(1002726)处的条件为真则跳上来.


010026CC  |.  3935 34530001 |CMP DWORD PTR DS:[1005334],ESI          ;  比较[1005334]和ESI的大小
010026D2  |.  C745 FC 0C000>|MOV DWORD PTR SS:[EBP-4],0C             ;  保存变量3=0C

通过查看发现1005334的值也是9..至此我们开始申请的3个变量已经全部都有值了
变量1=37
变量2=1
变量3=0C

010026D9  |. /7C 38         |JL SHORT winmine.01002713               ;  如果[1005334]<ESI则跳(否则画图)

如果ESI>9则调用BitBlt画图.否则跳到1002713处..我们可以看到1002713处是的代码作用是增加变量2的值.

01002706  |.  8345 FC 10    ||ADD DWORD PTR SS:[EBP-4],10            ;  画完后变量3加10
0100270A  |.  46            ||INC ESI                                ;  ESI+1
0100270B  |.  3B35 34530001 ||CMP ESI,DWORD PTR DS:[1005334]         ;  比较ESI和[1005334]大小
01002711  |.^ 7E C8         |\JLE SHORT winmine.010026DB             ;  ESI<=[1005334]则跳(继续画)


我们可以清楚的看到其实这是一个循环.为什么我这么肯定呢.因为在1002711处程序又把ESI和9进行了比较如果还是没有9大的话又继续画每画一次就让ESI+1直到它大于9为止
类似于一个for循环

for(ESI=1;ESI<=9;ESI++)
{
BitBlt(......);
}

我们现在分析一下BitBlt函数的参数


010026DB  |> /68 2000CC00   |/PUSH 0CC0020                           ; /ROP = SRCCOPY
010026E0  |. |33C0          ||XOR EAX,EAX                            ; |
010026E2  |. |8A0433        ||MOV AL,BYTE PTR DS:[EBX+ESI]           ; |
010026E5  |. |6A 00         ||PUSH 0                                 ; |YSrc = 0
010026E7  |. |6A 00         ||PUSH 0                                 ; |XSrc = 0
010026E9  |. |83E0 1F       ||AND EAX,1F                             ; |
010026EC  |. |FF3485 205A00>||PUSH DWORD PTR DS:[EAX*4+1005A20]      ; |hSrcDC
010026F3  |. |6A 10         ||PUSH 10                                ; |Height = 10 (16.)
010026F5  |. |6A 10         ||PUSH 10                                ; |Width = 10 (16.)
010026F7  |. |FF75 F8       ||PUSH DWORD PTR SS:[EBP-8]              ; |YDest
010026FA  |. |FF75 FC       ||PUSH DWORD PTR SS:[EBP-4]              ; |XDest
010026FD  |. |FF75 08       ||PUSH DWORD PTR SS:[EBP+8]              ; |hDestDC
01002700     |FF15 5C100001 ||CALL DWORD PTR DS:[<&GDI32.BitBlt>]    ; \BitBlt

我们还原成伪代码

BOOL BitBlt(
HDC hdcDest=hDestDC,                              //指向目标设备环境的句柄
int nXDest=XDest=第3个变量,                       //指定目标矩形区域左上角的X轴逻辑坐标。
int nYDest=YDest=第1个变量,                       //指定目标矩形区域左上角的Y轴逻辑坐标。
int nWidth=Width = 10 ,                             //指定源和目标矩形区域的逻辑宽度。
int nHeight=Height = 10 ,                           //指定源和目标矩形区域的逻辑高度。
HDC hdcSrc=DS:[EAX*4+1005A20],            //指向源设备环境的句柄。
int nXSrc=XSrc = 0,                                     //指定源矩形区域左上角的X轴逻辑坐标。
int nYSrc=YSrc = 0,                                     //指定源矩形区域左上角的Y轴逻辑坐标。 
DWORD dwRop=SRCCOPY                          //指定光栅操作代码。这些代码将定义源矩形区域的颜色数据，如何 
//与目标矩形区域的颜色数据组合以完成最后的颜色。通常使用SRCCOPY
)；

到目前位置我们已经了解了下列信息
1.变量3是X坐标...变量1是Y坐标
2.[1005338]=9,[1005360]=10,[1005334]=9
3.一个for循环在管理BitBlt的执行
4.X坐标一次是增加的10


01002713  |> \FF45 F4       |INC DWORD PTR SS:[EBP-C]                ;  第二个变量加1
01002716  |.  8B45 F4       |MOV EAX,DWORD PTR SS:[EBP-C]            ;  把第二个变量送回EAX
01002719  |.  8345 F8 10    |ADD DWORD PTR SS:[EBP-8],10             ;  把第一个变量加10
0100271D  |.  83C3 20       |ADD EBX,20                              ;  EBX+20
01002720  |.  3B05 38530001 |CMP EAX,DWORD PTR DS:[1005338]          ;  把EAX与[1005338]比较
01002726  |.^ 7E A1         \JLE SHORT winmine.010026C9              ;  EAX<=[1005338]则跳否则结束

for循环执行完后执行上面这几句代码

我们可以清楚的看到.这是在给Y加10..所以很容易得出结论原来是一个而重for循环.外层管理Y坐标的增加内层管理X坐标的增加.每次增加10.结束条件都是执行到了9次就结束.为什么是9次呢?原来是我们选定是初级.是9X9的格子....

好了.这个函数分析完了.下面我们该找找看雷区在内存中对应的位置了...
我们找到1005334查看附近内存中的数据发现

01005330  0A 00 00 00 09 00 00 00 09 00 00 00 00 00 00 00  ................
    01005340  10 10 10 10 10 10 10 10 10 10 10 0F 0F 0F 0F 0F  
    01005350  0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F  
    01005360  10 8F 8F 0F 0F 0F 0F 0F 0F 0F 10 0F 0F 0F 0F 0F  弿
    01005370  0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F  
    01005380  10 0F 0F 0F 0F 0F 0F 0F 0F 0F 10 0F 0F 0F 0F 0F  
    01005390  0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F  
    010053A0  10 0F 0F 0F 8F 0F 0F 0F 0F 0F 10 0F 0F 0F 0F 0F  ?
    010053B0  0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F  
    010053C0  10 0F 0F 0F 0F 0F 8F 0F 0F 0F 10 0F 0F 0F 0F 0F  ?
    010053D0  0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F  
    010053E0  10 8F 0F 8F 8F 0F 0F 0F 0F 0F 10 0F 0F 0F 0F 0F  ?弿
    010053F0  0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F  
    01005400  10 0F 8F 0F 0F 0F 0F 0F 0F 0F 10 0F 0F 0F 0F 0F  ?
    01005410  0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F  
    01005420  10 0F 0F 0F 0F 0F 0F 0F 0F 0F 10 0F 0F 0F 0F 0F  
    01005430  0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F 0F  
    01005440  10 0F 0F 8F 0F 0F 0F 0F 0F 0F 10 0F 0F 0F 0F 0F  ?

注意观察...你会发现这个内存块其实是用10围成的一个9*9的格子.(其实每行中间还多了一行全是OF的还不清楚这是为什么不过对我们分析没影响)
现在我们通过随便点击一个格子再来观察发现有一个数据变了.继续...经过多次实验发现这个内存区域就是我们苦苦寻找的雷区了....我们只用知道8F是雷0F是安全的就行啦~~~接下来就是工具的编写了.这个相对就很轻松了....
我用的是VS2008.MFC编写的...
其实只用几个函数就搞定了.最重要的还是上面的分析过程.
下面是需要用到的函数.很简单的.....依顺序给出...
FindWindow
GetWindowThreadProcessId
OpenProcess
ReadProcessMemory



spygg
关注
专栏目录
XP自带扫雷辅助 - C++Builder
Mr.乌鸦's Blog
02-25 539
XP自带扫雷辅助  功能:干掉时间,排出雷,秒杀 编写工具: C++Builder6 (Win10 x64) 辅助工具: CE &amp; OD &amp; Spy++ 测试系统:Win10 x64 WinXP 时间有限,有不对的地方欢迎指出,感谢! 1 CE找到时间的地址 2 OD附加扫雷游戏进程 3 跳转到该地址,注意NOP 2处了时间才真的不动了             OD 可以Ctrl+...
扫雷辅助程序.zip
06-24
基于c++实现的扫雷的辅助程序， 这是代码的演示链接，https://blog.csdn.net/qq_40285036/article/details/93534904。
C++ Builder扫雷辅助代码
02-25
C++ Builder XP系统扫雷游戏辅助,显示雷区 和 零秒扫雷. API的使用,内存读写,二维数组等.....
扫雷外挂（扫雷辅助程序）
热门推荐
qq_40285036的博客
06-24 1万+
1. 程序演示 2. 程序实现思路 主要分为以下三部分【定位窗口】【将扫雷界面转化为矩阵存储】【程序模拟人玩扫雷】。 通过扫雷程序的名称定位到具体程序的具体进程ID。 通过进程ID定位到窗口句柄。 在所有的窗口句柄中删选出主窗口。并可以获得主窗口的位置和大小。 将主窗口进行截屏，转换成图片。 通过Opencv对图片进行处理，定位到每一块小方格。 通过对每一块小方格进行分析，判断出当前小...
CALL注入--扫雷辅助(二)
Quartz's Blog
12-03 1372
Call注入简介 差不多有一周的时间,完成了扫雷辅助的项目 项目地址 (感觉好玩的东西, 多有不足,还请各位交流指正) 过程中遇到相当多的问题与麻烦, 逐个解决.难得闲暇, 就记录过程中的一些 point 核心代码 CONST LPWORD offsetFnClick = (LPWORD)0x01003512; //选方格的函数地址 BOOL Click(
JAVA扫雷游戏程序+源码
最新发布
04-27
在JAVA扫雷游戏程序中，我们使用了一个二维数组来表示游戏的方格矩阵。每个方格可以包含以下三种状态之一：未被揭示、有地雷或安全。我们还使用了一些辅助变量来跟踪游戏中的状态，例如已揭示的方格数量和剩余的地雷...
扫雷的java程序.rar_JAVA 扫雷_java 游戏_扫雷_游戏编程
09-21
【标题】"扫雷的java程序.rar"是一个Java语言实现的扫雷游戏项目，适合初学者学习游戏编程。这个程序提供了基本的扫雷游戏逻辑，让开发者能够了解如何在Java环境中构建一个简单的交互式游戏。 【描述】描述指出，这...
windows xp 自带扫雷程序 辅助 源码
04-15
windows xp 自带扫雷程序 辅助工具 先练练小程序,哈 有源码 vc 保正能用.
你从未见过的C++扫雷辅助，最强脑力大比拼！
07-27 685
现如今pc、手机以及平板的游戏五花八门，广大的玩家用户都可以找到自己所喜欢的类型来玩耍。在包罗万象的游戏中,“扫雷”游戏可以说是其中最经典的一款了，追本溯源,扫雷这款游戏可以追溯到windows非常早的阶段。如果我们来往前收集的话，看到扫雷游戏整个发展过程,相信是一件有意思的事情。 C++扫雷游戏外挂，可以自动识别初级、中级、高级、自定义扫雷模式，增加了延时功能，自动移动鼠标指针，扫雷过程中...
反汇编逆向实战——扫雷辅助制作
Tandy12356_的博客
06-13 2328
本文详细讲解了如何从0制作一款自己的扫雷辅助
易语言编写的Windows XP扫雷推理辅助
02-03
本模块调用了大漠模块中的图象识别将游戏图案转化为文本文件,并利用扫雷的玩法进行推理,从而完成游戏.而因为其根据游戏玩法进行操作,故运算速度较慢,且存在死角. 同时,因调用了大漠中的窗口绑定及截图,所以不能最小化,且必须将其图片识别库dm_sl.txt置于同一目录.
一个关于修改扫雷进程的程序源代码
01-04
一个关于修改扫雷进程的程序源代码，先打开扫雷程序，然后运t1程序，这时候可能杀毒软件会提示，允许就行。接下来点击扫雷会发现鼠标左右键换了。关闭重启扫雷后效果消失！
易语言扫雷代码
01-01
用易语言编写的扫雷应用程序，实现 window 系统 操作
易语言源代码《自动扫雷》
12-08
易语言写的自动扫雷源代码,调用CALL技术，详细请看代码，有问题可以联系
易语言扫雷源码
12-15
易语言扫雷源码
逆向工程第007篇：扫雷辅助的研究——0秒实现一键自动扫雷
Gleam的专栏
05-26 9186
前言 为了给学生讲解游戏辅助的原理，临时起意写了一个扫雷游戏的辅助程序，可真正实现0秒一键自动扫雷等的功能。纵观网上及冀云前辈那本书上的文章，发现已有的资料中存在有这么几个问题：1、无法实现0秒扫雷，都是至少需要1秒才能完成任务；2、雷区究竟是在游戏初始化时就设置好了，还是要等玩家点击了第一处雷区方块才进行设置？3、已有的资料中实现一键扫雷或者地雷自动标记，都是针对于特定的雷区，比如只针对高级模...
2020-11-23（“花式扫雷” 辅助制作）
寻梦&之璐
11-23 897
地图寻找 因为扫雷每次地雷位置都是随机出现的，在IDA的导入表中找到rand函数，查一下交叉引用就可以发现只有sub_1003940这个函数中调用了它。再查sub_1003940的交叉引用可以发现只有sub_100367A函数调用了它。对sub_1003940下断动态跟一下，就很容易可以发现，sub_1003940函数调用了rand函数生成了两个随机值，通过这两个随机值来决定在雷区地图的哪个位置有地雷，很明显，sub_100367A就是生成雷区地图的函数。 然后我们就很容易能注意到两个全局变量：dword_
利用Python制作扫雷游戏的外挂脚本
weixin_56091790的博客
11-13 1284
本方法不读取内存地雷的分布来作弊，而是利用pyautogui，模仿人眼看到的实景来扫雷（按我目前的认知最后是有很大几率要猜几个的，如有高手知道必胜方法，欢迎交流），程序copy下来既能运行
程序辅助扫雷的几种方法
百由的专栏
09-09 2567
程序辅助扫雷的几种方法2003.9.6我的手很笨，不怕大家笑话，挖地雷从来没有低过 140（从Windows3.1开始），所以有时候就想做个程序“辅助一下”。以下是自己想到的几种方法。方法 1： 让程序替我们挖先人工挖开一片“空地”，然后启动我们的程序，读扫雷程序的 Window 的界面 DC，然后进行简单的图像提取，提取出已经挖开的空地内的所有数字，设计一个算法计算哪些方块下面有地雷
C语言实现扫雷：软件工程与综合程序开发
文档还给出了扫雷游戏的源程序示例，展示了实际的代码实现。 测试和调试是确保程序正确性的关键步骤，调试涉及找出并修复代码中的错误，而测试则包括单元测试、集成测试等，目的是验证程序是否按照预期工作。运行与...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值