专栏名称: 看雪学苑

致力于移动与安全研究的开发者社区，看雪学院(kanxue.com)官方微信公众帐号。

修改PE入口点方式注入自己编写的DLL——《英雄无敌》1代小回城术修改成大回城术

看雪学苑 · 公众号 · 互联网安全 · 2024-10-18 17:59

正文

《英雄无敌》每代都有回城术，而第一代的回城术则是所谓的“小回城术”，就是到达的城堡不能选择。到了《英雄无敌》2代和3代，都有大小回城术了，而大回城术可以使英雄回到己方的任意一座没有自己的英雄所在的城堡，有了这样的魔法，使得英雄能兼顾整个地图，是每个玩家都是首要得到的！

可惜的是，到了《英雄无敌》四代，回城术又回到了小回城术并且限定只有会秩序类魔法的英雄才能拥有，极大地增加了完成地图的难度和时间！以前我有发过把二代里的小回城术修改成大回城术的博文：https://www.cnblogs.com/dark-f/p/18432634

这次我将要把《英雄无敌》一代的小回城术，改成大回城术。具体方法包括：
1）设计一个DLL，就是一个由一个下拉框组成的对话框
2）把这个DLL注入到《英雄无敌》一代里

本次修改是在这2个文章基础上进行的：
https://www.cnblogs.com/dark-f/p/18316105
https://www.cnblogs.com/dark-f/p/18299637

二

下拉框对话框

这个设计很简单，语言选择的是masm32。

给DLL取名Towngate，下面直接上代码。

Towngate.asm:

;********************************************************************
        .386
        .model flat, stdcall
        option casemap :none
;********************************************************************
; Include 文件定义
include		windows.inc
include		user32.inc
includelib	user32.lib
include		kernel32.inc
includelib	kernel32.lib
include		gdi32.inc
includelib	gdi32.lib
;********************************************************************
; Equ 等值定义
DLG_MAIN		equ	1
IDC_COMBOTEXT	equ	101
;********************************************************************
; 数据段
            .data?
hInstance	dd	?
dwCount		dd 	?
dwTown		dd	?

            .const
pTable		dd	sz1,sz2,sz3,sz4,sz5,sz6,sz7,sz8,sz9,sz10,\
                sz11,sz12,sz13,sz14,sz15,sz16,sz17,sz18,sz19,sz20
sz1			db	'1',0
sz2			db	'2',0
sz3			db	'3',0
sz4			db	'4',0
sz5			db	'5',0
sz6			db	'6',0
sz7			db	'7',0
sz8			db	'8',0
sz9			db	'9',0
sz10		db	'10',0
sz11		db	'11',0
sz12		db	'12',0
sz13		db	'13',0
sz14		db	'14',0
sz15		db	'15',0
sz16		db	'16',0
sz17		db	'17',0
sz18		db	'18',0
sz19		db	'19',0
sz20		db	'20',0
;********************************************************************
; 代码段
        .code
;********************************************************************		
; dll 的入口函数
DllEntry	proc	_hInstance,_dwReason,_dwReserved
            mov eax,_dwReason
            .if eax == DLL_PROCESS_ATTACH
                push _hInstance
                pop	 hInstance
            .endif
            mov	eax,TRUE
            ret
DllEntry	endp			
;********************************************************************
_DlgProc	proc	uses ebx edi esi _hWnd,_wMsg,_wParam,_lParam
        local	@nCount:dword

        mov	eax,_wMsg
        .if	eax == WM_CLOSE
            invoke	EndDialog,_hWnd,NULL
        .elseif	eax == WM_INITDIALOG
;********************************************************************
; 初始化组合框
            mov esi,0
            push dwCount
            pop @nCount
            dec @nCount
            mov ebx, offset pTable
    @@:		mov edi, [ebx + esi*4]
            invoke	SendDlgItemMessage,_hWnd,IDC_COMBOTEXT,CB_ADDSTRING,0,edi
            .if esi == @nCount
                jmp @F
            .endif
            inc esi
            jmp @B
    @@:		invoke	SendDlgItemMessage,_hWnd,IDC_COMBOTEXT,CB_SETCURSEL,0,0
;********************************************************************		
        .elseif	eax == WM_COMMAND
            mov	eax,_wParam
            .if	ax ==	IDOK
                invoke	EndDialog,_hWnd,NULL
;********************************************************************
; 演示处理下拉式组合框
            .elseif	ax == IDC_COMBOTEXT
                shr	eax,16
                .if	ax == CBN_SELENDOK
                    invoke	SendDlgItemMessage,_hWnd,IDC_COMBOTEXT,CB_GETCURSEL,0,0
                    mov dwTown, eax
                .endif
            .endif
;********************************************************************
        .else
            mov	eax,FALSE
            ret
        .endif
        mov	eax,TRUE
        ret

_DlgProc	endp
;********************************************************************
GetTown		proc	_dwCount
        push _dwCount
        pop	 dwCount
        invoke	DialogBoxParam,hInstance,DLG_MAIN,NULL,offset _DlgProc,NULL
        mov eax, dwTown
        ret
GetTown		endp
;********************************************************************
        End	DllEntry

Towngate.def:

EXPORTS
    GetTown

Towngate.rc:

/********************************************************************/
#include		
/********************************************************************/
#define	DLG_MAIN		1
#define IDC_COMBOTEXT	101
/********************************************************************/
DLG_MAIN DIALOG 100, 100, 200, 100
STYLE DS_MODALFRAME | WS_POPUP | WS_VISIBLE | WS_CAPTION | WS_SYSMENU | WS_THICKFRAME
FONT 12, "Comic Sans MS"
{
/*FONT 14 "Segoe Script"*/
 CTEXT "TOWN GATE",-1,50,0,100,30
 CTEXT "Select a town to port to",-1, 50,20,100,30
 COMBOBOX IDC_COMBOTEXT, 50, 45, 100, 70, CBS_DROPDOWNLIST | WS_TABSTOP
 PUSHBUTTON "OK", IDOK, 75, 70, 50, 14
}

Makefile文件：

NAME = Towngate
OBJS = $(NAME).obj
RES  = $(NAME).res
DEF	 = $(NAME).def

LINK_FLAG = /subsystem:windows /Dll
ML_FLAG = /c /coff

$(NAME).dll: $(OBJS) $(RES) $(DEF)
    Link $(LINK_FLAG) /Def:$(DEF) $(OBJS) $(RES)
.asm.obj:
    ml $(ML_FLAG) $<
.rc.res:
    rc $<

然后就可以编译链接成dll了(为了确保dll有效，已经用应用程序测试可以加载调用)。

三

修改PE入口点方式注入DLL

这种注入方式的优点非常明显：

1）这种注入方式，不怕dll升级与修改，即修改dll无需再去修改PE
2）无需繁琐的导入表重定位操作与计算

注入方法只是很简单的三步：
第一步：在pe文件的空白处输入dll文件名称字符串，并push 地址
第二步：call LoadLibraryA
第三步：跳回原pe入口点

最后修改PE的入口点为上面第一步push所在命令行地址即可。下面以《英雄无敌》1代注入Towngate.dll看具体操作：

用OD打开程序就会停在程序入口点，这个点也可以使用PE类程序查看的，本贴使用的是Explorer Suite（也就是CFF Explorer）

在程序的尾部有很多空白，选定0048B0C0处作为新的入口点：

先在0047B0A4的地方输入字符串Towngate.dll，这是dll的文件名：

再在0047B0B1的地方输入GetTown，这是dll中的输出函数名：

好，下面就可以按照上面的三步注入dll。在0048B0C0处，依次输入上面三步，结果如下图：

保存修改：

用CFF Explorer打开刚修改后的程序，可以看到此时程序的入口点是在826C0处（即4826C0）

将其修改为8B0C0，并保存

运行一下游戏，看看是否可以正常运行。可以正常运行，说明入口点的修改没有问题，下面就是修改程序代码的过程了。

四

回城术代码研读

下面是关键部分，也就是回城术是怎么选择城堡的。

004351C5  |.  E8 67C80100          call HEROES.00451A31				;dark-f: it's failed
004351CA  |.  83C4 24              add esp,24
004351CD  |.  E9 2C020000          jmp HEROES.004353FE
004351D2  |>  C745 EC 00000000     mov [local.5],0					;dark-f: initial
004351D9  |.  E9 03000000          jmp HEROES.004351E1				;===>E9 F25E0500-->0048B0D0
004351DE  |>  FF45 EC              /inc [local.5]					;[ebp-14],loop=2,loc.5=1;2
004351E1  |>  A1 B0244C00           mov eax,dword ptr ds:[4C24B0]	;dark-f: 026D0254 ASCII "Player 1"
004351E6  |.  0FBE40 56            |movsx eax,byte ptr ds:[eax+56]	;dark-f: town number
004351EA  |.  3B45 EC              |cmp eax,[local.5]
004351ED  |.  0F8E 96000000        |jle HEROES.00435289				;dark-f: end loop, when scaning town No. = town No.
004351F3  |.  8B45 EC              |mov eax,[local.5]				;dark-f: loop No.,loop=2,eax=1;2
004351F6  |.  8B0D B0244C00        |mov ecx,dword ptr ds:[4C24B0]	;026D0254 ASCII "Player 1"
004351FC  |.  0FBE4408 59          |movsx eax,byte ptr ds:[eax+ecx+59]	;town ID: 03,0C;0B;02;0A;01;08;0;06;05;09;04;07
00435201  |.  8BC8                 |mov ecx,eax
00435203  |.  8D0480               |lea eax,dword ptr ds:[eax+eax*4]	;ID*5
00435206  |.  8D0441               |lea eax,dword ptr ds:[ecx+eax*2]	;ID+ID*5*2
00435209  |.  8D0480               |lea eax,dword ptr ds:[eax+eax*4]	;(ID+ID*5*2)*5
0043520C  |.  8B0D 486D4C00        |mov ecx,dword ptr ds:[4C6D48]		;[4C6D48]=XXXX0048
00435212  |.  0FBE8408 A5210100    |movsx eax,byte ptr ds:[eax+ecx+121A5]	;dark-f: town X-coordination 13;29;42
0043521A  |.  8B4D FC              |mov ecx,[local.1]				;hero's address
0043521D  |.  0FBE49 1E            |movsx ecx,byte ptr ds:[ecx+1E]	;[026E 3107]=FFFF0E32,hero X-coordination,ecx=32(12)
00435221  |.  2BC1                 |sub eax,ecx				;dark-f: for calculating distance delta? eax=13-32=E1;F7;10
00435223  |.  50                   |push eax
00435224  |.  E8 67C60400          |call HEROES.00481890			;get absolute value, eax=1F, edx=FFFFFFFF;eax=09;10
00435229  |.  83C4 04              |add esp,4
0043522C  |.  8BD8                 |mov ebx,eax						;dark-f: keep eax into ebx(delta X), ebx=1F;09;10
0043522E  |.  8B45 EC              |mov eax,[local.5]				;0;1;2
00435231  |.  8B0D B0244C00        |mov ecx,dword ptr ds:[4C24B0]
00435237  |.  0FBE4408 59          |movsx eax,byte ptr ds:[eax+ecx+59]	;town ID: 03;0C;0B
0043523C  |.  8BC8                 |mov ecx,eax
0043523E  |.  8D0480               |lea eax,dword ptr ds:[eax+eax*4]
00435241  |.  8D0441               |lea eax,dword ptr ds:[ecx+eax*2]
00435244  |.  8D0480               |lea eax,dword ptr ds:[eax+eax*4]
00435247  |.  8B0D 486D4C00        |mov ecx,dword ptr ds:[4C6D48]
0043524D  |.  0FBE8408 A6210100    |movsx eax,byte ptr ds:[eax+ecx+121A6]	;town Y-coordination 3E;45;3A
00435255  |.  8B4D FC              |mov ecx,[local.1]
00435258  |.  0FBE49 1F            |movsx ecx,byte ptr ds:[ecx+1F]			;hero Y-coordination 0E(40)
0043525C  |.  2BC1                 |sub eax,ecx						;3E-0E=30;45-0E=37;3A-0E=2C
0043525E  |.  50                   |push eax
0043525F  |.  E8 2CC60400          |call HEROES.00481890			;eax=30;37;2C
00435264  |.  83C4 04              |add esp,4
00435267  |.  03D8                 |add ebx,eax						;distance=delta X + delta Y, ebx=4F;40;3C
00435269  |.  895D F8              |mov [local.2],ebx				;loc.2 keeps the result.;40;3C
0043526C  |.  8B45 F0              |mov eax,[local.4]				;loc.4=3E4, 3E4=996 is a limit?;4F;40
0043526F  |.  3945 F8              |cmp [local.2],eax				;keep min distance, ebx=4F4=3E8;40<4F;3C<40
00435272  |.  0F8D 0C000000        |jge HEROES.00435284
00435278  |.  8B45 F8              |mov eax,[local.2]		;eax=4F;40;3C
0043527B  |.  8945 F0              |mov [local.4],eax		;if loc.2 < 3E4, loc.4=loc.2, loc.4(min distance)=4F;40;3C
0043527E  |.  8B45 EC              |mov eax,[local.5]		;loc.5=0;1;2
00435281  |.  8945 F4              |mov [local.3],eax	;loc.3 min distance town ID , if loc.2<3E4, loc.3=loc.5, loc.3=0;1;2
00435284  |>^ E9 55FFFFFF          \jmp HEROES.004351DE		;dark-f: this procedure gets the nearest town, loop all towns
00435289  |>  837D F4 FF           cmp [local.3],-1			;loc.3=-1, no available town (07)
0043528D  |.  0F85 1D000000        jnz HEROES.004352B0		;dark-f: loc.3 != -1, has a town to portal

可以看出，上面的小回城术是根据英雄所在位置坐标，和己方所有城堡坐标作距离计算，得到最小的那个距离，就是英雄要回到的城堡。其中关键的数据有3个：player1的首地址，是存在[4C24B0]，而己方城堡数量，是存在上面那个地址偏移56的地方[eax+56]，再就是选中的城堡是存在[local.3]（即[ebp-C])里的。

搞清楚了回城术的应用流程，修改就简单了，只要在跳入对每个城堡循环前，就将程序跳转到自己的代码那里，然后把所要去的城堡付给[local.3]即可。

因此，将程序中的这个跳转，改到跳到修改代码所在地址即可。

五

修改代码

再看看修改的代码怎么写（下图红框的就是）？

由于玩家与电脑是使用同样的魔法代码的，因此，这样修改后要防止电脑不会使用而无法游戏，所以必须把电脑的排除出去，动态调试可知，玩家首地址的低16位为254，因此，可以用这判断将电脑仍回到小回城术上去。

大意就是：根据玩家首地址的低16位是否为254，将电脑排除掉，不等于254就返回小回城术流程-->得到dll的句柄-->检查句柄是否为NULL，如果是NULL，让程序回到原有的小回城术流程上去-->得到导出函数入口地址-->检查入口地址是否为NULL，若是同样返回原有程序的小回城术流程-->得到己方城堡数量，作为调用导出函数的参数，调用导出函数-->将导出函数的返回值传递给[local.3]-->最后跳转到原路径的00435289处。

修改后的程序代码在X32dbg中的样子（红框中三行是改变入口点的）：

六

校验效果

游戏中，回城术的使用方法是：

1、己方城堡从第一个开始，依次1、2、3、4下去，记住英雄要去的城堡是第几个？

2、在下拉框中就选中第几个（注意：即使是列表中的第一个，也要用鼠标选中一次）

3、点击OK就行了，下面看看实测结果

七

程序包（dll和已经修改的运行程序）下载

https://wwzd.lanzoup.com/inEvw2bxohoh

看雪ID：fdark

https://bbs.kanxue.com/user-home-398937.htm

*本文为看雪论坛精华文章，由 fdark 原创，转载请注明来自看雪社区

# 往期推荐

1、记录一次BlackObfuscator去混淆流程

2、libEnccryptor vm 还原的探索

3、PHP PWN 入门调试

4、记录一次**App H5逆向

5、CAN协议分析

球分享

球点赞

球在看

点击阅读原文查看更多