魔獸爭霸三單機遊戲修改器系列三

04-13

繼續接著上一篇

上一篇得到了Hero Point Ptr +0x78, +0x7C是坐標

然後我們用IDA看下0x6F6EF000的代碼看下如何轉換的。

unsigned int *__fastcall sub_6F6EF000(unsigned int *Buffer, signed int *a2, unsigned int *a3){ signed int v3; // edi unsigned int v4; // ebx unsigned int v5; // ebp int v6; // edx int v7; // ecx signed int v8; // eax unsigned int *result; // eax int v10; // esi unsigned int v11; // edi int v12; // eax int v13; // edx int v14; // esi unsigned int *v15; // [esp+10h] [ebp-4h] v3 = *a2; v4 = *a2 & 0x7F800000; v15 = Buffer; if ( !v4 ) goto LABEL_6; v5 = *a3 & 0x7F800000; if ( !v5 ) goto LABEL_10; v6 = ((v3 >> 31) ^ 2 * (v3 & 0x7FFFFF | 0x800000)) - (v3 >> 31); v7 = v5 - v4; v8 = ((*a3 >> 31) ^ 2 * (*a3 & 0x7FFFFF | 0x800000)) - (*a3 >> 31); if ( (v5 - v4) > 0 ) { if ( v7 >= 0xB800000 ) { Buffer = v15;LABEL_6: *Buffer = *a3; return Buffer; } v4 = *a3 & 0x7F800000; v6 >>= v7 >> 23; goto LABEL_12; } if ( v7 <= 0xF4800000 ) { Buffer = v15;LABEL_10: *Buffer = v3; return Buffer; } v8 >>= (v4 - v5) >> 23;LABEL_12: v10 = v8 + v6; if ( v8 + v6 ) { v11 = v10 & 0x80000000; if ( v10 < 0 ) v10 = -v10; v12 = sub_6F6EEC00(v10); v13 = 8 - v12; if ( 8 - v12 < 0 ) v14 = v10 << (v12 - 8); else v14 = v10 >> (8 - v12); result = v15; *v15 = v11 | v14 & 0x7FFFFF | (v4 + ((v13 - 1) << 23)); } else { result = v15; *v15 = 0; } return result;}

老實說，挺麻煩的。如果要從轉換過的X逆推回"真實X", 我也不太想解這個演算法。

那我們換一種思路好了。我們從"真實坐標X"下寫入斷點。然後可能會有一個坐標轉換的函數供我們調用也說不定呢？是吧。

走動一下，就可以斷下來了。

函數大概是這樣的。我們從函數頭部下一個條件斷點。

要注意的是，此處的ECX應該是那個坐標指針，而非英雄的對象指針。就是那個+0x78=坐標那個指針。

我們現在的坐標是

Point(80.47450,149.3223)

英雄走動一下就會斷下來了。慢慢單步往下走你會發現

返回一個0.2177261寫入到局部變數緩衝區裡面。

這個是-0.2119922

這裡寫入的是149.5400. 舊的坐標是149.3223。用計算器算一下就知道

所以這些函數是計算出下一步要移動的距離。計算出下一步的坐標。寫入該坐標到 Point Ptr +0x78, +0x7C.

用IDA看一下0x6F6EEE20 這個函數你就會發現……

unsigned int *__fastcall sub_6F6EEE20(unsigned int *a1, int *a2, _DWORD *a3){ int v3; // eax int v4; // esi int v5; // edx unsigned int v6; // esi int v7; // edi int v8; // ebx int v9; // eax unsigned int v10; // edx unsigned int *result; // eax v3 = *a2; v4 = *a2 ^ *a3; v5 = *a2 & 0x7FFFFF; v6 = v4 & 0x80000000; v7 = v3 & 0x7F800000; v8 = *a3 & 0x7F800000; v9 = *a3 & 0x7FFFFF; if ( v5 && v9 ) { v10 = ((v5 | 0xFF800000) << 8) * ((v9 | 0xFF800000) << 8) >> 32; *a1 = ~((v8 + v7 - 0x40000000) >> 0x1F) & (v6 | (v8 + v7 - 0x3F800000 + (v10 >> 0x1F << 23)) | (v10 >> ((v10 & 0x80000000) != 0) >> 7) & 0x7FFFFF); result = a1; } else if ( v7 && v8 ) { *a1 = ~((v8 + v7 - 0x40000000) >> 0x1F) & (v6 | v5 | v9 | (v8 + v7 - 0x3F800000)); result = a1; } else { *a1 = 0; result = a1; } return result;}

這個函數也很坑爹。但是大概可以看出。 a1(Buffer) 都是依賴a2(EDX) 和 a3(PUSH EDI)的值來進行各種計算得出的。

a2=

a3=

但是都沒我們想要的坐標轉換計算。所以在這裡繼續逆向也不會有太大的結果，最多你就能看懂他是怎麼計算坐標距離的而已。那我們就把目光放到上幾層函數調用。

繼續往上的代碼我就不貼了。總而言之，逆向過程非常坎坷。

我就是想找滑鼠點擊時候的地圖坐標轉換成英雄人物坐標。

大概過程應該是滑鼠點擊地圖的時候會有一個地圖坐標。然後轉換成人物坐標。獲取當前人物起點和終點，計算下一步往哪邊走…… 但是我翻了幾下發現各種計算非常麻煩。代碼就不貼了，雖然找到了關鍵點，但是遊戲轉換機制非常麻煩！！！超級麻煩！！！我就不貼這個過程了，因為會很長很長。就連我自己雖然逆向完他的坐標轉換機制，我自己都不用。

所以我嘗試換了一種思路。就從"閃現"技能下手。下一個斷點在函數頭部。

斷下來後返回上一層調用

然後一直返回。直到……

這個函數是比較不錯的。

Buffer = {X,Y,Z}PUSH 1PUSH BufferMOV ECX, Hero Object AddrCALL [ECX+0xB8] // return ECX+0x164MOV ECX, Hero Object addrCALL 6F474250

關鍵的閃現函數找到了。因為這個函數, 需要坐標，也需要英雄對象指針。所以是完美函數原型。至於裡面怎麼把坐標轉換成真實坐標我們就不care了。我們直接調用函數即可。

然後接下來就是找Hook的地方了。我們在寫入"真實坐標"那裡下寫入斷點後。一直返回到....

然後看函數頭部那裡。

這裡就是Hook的地方。只要Hook這裡。對比 [ESI+0x30] = Hero Object Addr. 即可調用"瞬移"。

順便提一句，這個ESI是技能指針。譬如說我是用

這個ESI，就是技能對象。也就是技能對象+0x30就是施法者或者技能受益者之類的吧。

這個技能在下一篇會說到技能冷卻，減少耗藍。

然後我把我自己的"自定義瞬移"設計成，按下F2，然後滑鼠右擊地圖。即可"全圖閃現"。

大概代碼實現如下

首先Hook Win32API的 PeekMessageA. 得到按鍵消息。

MyTools::CLdrHeader LdrHeader;LdrHeader.InlineHook(::GetProcAddress(::GetModuleHandleW(L"user32.dll"), "PeekMessageA"), PeekMessage_, reinterpret_cast<void **>(&_OldPeekMessagePtr));BOOL g_PushF2 = FALSE;using PeekMessageAPtr = BOOL(WINAPI*)(_Out_ LPMSG lpMsg, _In_opt_ HWND hWnd, _In_ UINT wMsgFilterMin, _In_ UINT wMsgFilterMax, _In_ UINT wRemoveMsg);PeekMessageAPtr _OldPeekMessagePtr = nullptr;BOOL WINAPI PeekMessage_(_Out_ LPMSG lpMsg, _In_opt_ HWND hWnd, _In_ UINT wMsgFilterMin, _In_ UINT wMsgFilterMax, _In_ UINT wRemoveMsg){ BOOL bRetCode = _OldPeekMessagePtr(lpMsg, hWnd, wMsgFilterMin, wMsgFilterMax, wRemoveMsg); if (lpMsg->wParam == VK_F2) { g_PushF2 = lpMsg->message == WM_KEYDOWN ? TRUE : FALSE; } return bRetCode;}

然後用機器碼去搜索整塊內存…… 因為這個是在Game.dll裡面。因為載入地址隨機化的問題。不能用固定的內存地址。

static MyTools::MYHOOK_CONTENT HookContent;HookContent.uNopCount = 0x0;HookContent.dwFunAddr = reinterpret_cast<DWORD>(HookPoint);dwHookPointAddr = HookContent.dwHookAddr = MyTools::CLSearchBase::FindAddr("7405E881D3FFFF", 0x46D5B88 - 0x46D5B8F, 0, L"Game.dll");if (HookContent.dwHookAddr == 0){ LOG_C_E(L"UnExist HookAddr"); return;}

然後是Hook的代碼

BOOL PlayerFlash(_In_ DWORD dwHookPointHeroObjectAddr, _In_ float X, _In_ float Y, _In_ float Z){ if (dwHookPointHeroObjectAddr != dwHeroObjectAddr || !g_PushF2 || (DWORD)X == 0 || (DWORD)Y == 0) { return FALSE; } static DWORD dwCALL = MyTools::CLSearchBase::FindCALL("FFD08BC8E83A7F1C00", 0x477C30D - 0x477C311, (DWORD)::GetModuleHandleW(L"Game.dll"), 1, 0, L"Game.dll"); LOG_C_D(L"Flash [%.2f,%.2f,%.2f]", X, Y, Z); struct FlashBufferContent { float fX; float fY; float fZ; }; static CHAR Buffer[1024]; memset(Buffer, 0, sizeof(Buffer)); ((FlashBufferContent*)Buffer)->fX = static_cast<float>(X); ((FlashBufferContent*)Buffer)->fY = static_cast<float>(Y); ((FlashBufferContent*)Buffer)->fZ = static_cast<float>(Z); __asm { PUSHAD; PUSH 1; LEA EAX, Buffer; PUSH EAX; MOV ECX, dwHeroObjectAddr; ADd ECX, 0x164; MOV EAX, dwCALL; CALL EAX; POPAD; } return TRUE;}static DWORD dwHookPointESI = 0;static DWORD dwHookPointAddr = 0;static DWORD dwHookPointX = 0;static DWORD dwHookPointY = 0;static DWORD dwHookPointZ = 0;__declspec(naked) void HookPoint(){ __asm { MOV dwHookPointESI, ESI; LEA EAX, DWORD PTR DS : [ESP + 0x1C8]; MOV dwHookPointX, EAX; LEA EAX, DWORD PTR DS : [ESP + 0x1CC]; MOV dwHookPointY, EAX; LEA EAX, DWORD PTR DS : [ESP + 0x1D0]; MOV dwHookPointZ, EAX; } __asm PUSHAD; PlayerFlash(ReadDWORD(dwHookPointESI + 0x30), MyTools::CCharacter::ReadFloat(dwHookPointX), MyTools::CCharacter::ReadFloat(dwHookPointY), MyTools::CCharacter::ReadFloat(dwHookPointZ)); __asm { POPAD; MOV EDI, dwHookPointAddr; ADD EDI, 0x5; PUSH EDI; MOV EDI, DWORD PTR DS : [ESI + 0x30]; TEST EDI, EDI; RETN; }}

效果就是

代碼在

VideoCardGuy/War3Cheat?

github.com

還沒完全整理完……

魔獸爭霸三 單機遊戲修改器 系列三

魔獸爭霸三單機遊戲修改器系列三