某封包地址分析

BT收包
00551C23   .  E8 F8B00700   call 005CCD20

数据 esp   长度 esp + 4

YS收包
00561026   .  8B45 C8       mov eax,dword ptr ss:[ebp-38]

数据 ebp-38   长度 edx

BT发包
00551F38   .  E8 03A4EEFF   call 0043C340

数据 esp + 4  长度 esp + 8

0D7500D8  23 37 5E 3C 5F 5C 6D 3C 63 6C 76 76 66 75 76 76
0D7500E8  66 75 43 4F 76 48 4B 46 3B 58 49 42 5D 46 41 43 
0D7500F8  40 53 21                                         @S!

 

最新
---------------------------------------------------------------------------------------------
本体发包
005559E5   .  52                  push edx
005559E6   .  8BCE                mov ecx,esi
005559E8   .  E8 835EEEFF         call 0043B870                      ;  加密包

005559ED   .  C745 FC 03000000    mov dword ptr ss:[ebp-4],3          跳回地址

数据 ebx  长度 ebp + 10

--------------------------------------------------------------------------------------------------
BT收包

00555520   .  8B95 88000000       mov edx,dword ptr ss:[ebp+88]
00555526   .  85C0                test eax,eax
00555528   .  75 65               jnz short 0055558F        跳回地址

 

EDX < 0x10

数据 lea eax,[ebp + 74] 长度 mov edx, [ebp + 88]

EDX > 0x10

数据 mov eax,[ebp + 0x74] 长度 mov edx, [ebp + 88]

--------------------------------------------------------------------------------------------------
YS收包

00564FE0   .  8B55 DC             mov edx,dword ptr ss:[ebp-24]
00564FE3   .  83FA 10             cmp edx,10
00564FE6   .  8B45 C8             mov eax,dword ptr ss:[ebp-38]
00564FE9   .  73 03               jnb short 00564FEE            跳回地址

 

EDX < 0x10

数据 lea eax,[ebp - 38] 长度 [ebp - 24]

EDX > 0x10

数据 mov eax,[ebp - 0x38] 长度 [ebp - 24]

-------------------------------------------------------------------------------------------------------
YS发包

0056458C   .  50                  push eax
0056458D   .  8BCF                mov ecx,edi
0056458F   .  E8 1CFDFFFF         call 005642B0
00564594   .  8D77 78             lea esi,dword ptr ds:[edi+78]            跳回地址

 

数据 edx  长度 ebp + 0xC

----------------------------------------------------------------------------------------------------
BT收包  动态加密

005555D2   .  C745 FC 02000>mov dword ptr ss:[ebp-4],2
005555D9   . /EB 71         jmp short 0055564C                跳回地址

数据 eax  长度 ebx

转载于:https://www.cnblogs.com/manhook/archive/2013/03/24/2979805.html