只需一步，快速开始
后使用快捷导航
DNF假面外挂分析报告
该用户从未签到
马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。
才可以下载或查看，没有帐号？
本帖最后由 铁军 于
00:47 编辑
一、 病毒描述：
二、 变量声明：
三、 病毒母体释放文件：
四、 病毒母体工作流程分析：
五、 被感染的%System32\rasapi32.dll分析：
六、 传输服务提供者dlsp.dll的分析：
七、 主功能DLL 0QVN.dll分析(0QVN.dll是随机生成的)：
八、 keepdaili.exe的简单分析& & & &
九、 病毒技术点剖析：
十、 特别说明：
本分析报告来源于珠海毒霸病毒分析组。
支持，铁军的新头像好帅！&
本帖最后由 铁军 于
00:42 编辑
一、病毒描述：
& & & & 该病毒文件为盗号程序，病毒运行后会在系统目录下释放多个病毒文件，注册SPI传输服务并优先于系统对应的正常服务之上，修改注册表LSP项，感染系统正常dll rasapi32.dll。禁止windows文件保护。过杀软的主动防御并友好的让杀软退出。盗取dnf游戏帐号密码等。
& & & & 当用户开机拨号连接网络或运行任何有访问网络行为的程序以及运行任何间接或直接调用系统rasapi32.dll的程序如打开网络邻居查看网络连接时都会触发病毒。
& & & & 受影响系统windows 2000、xp 、Server系列。
二、变量声明：
& & & & %System32%& & Win32子系统目录 通常为C：\windows\System32
本帖最后由 铁军 于
00:42 编辑
三、病毒母体释放文件：
& && &&&%System32%目录下：
& && &&&%System32%\dllinject.tmp
& && &&&%System32%\dlsp.dll
& && &&&%System32%\DNFGame.exe
& && &&&%System32%\keepdaili.exe
& && &&&%System32%\qqsockdaili.exe
& && &&&%System32%\qqsockdaili.exe
& && &&&%System32%\rasapi32.dll.bak
& && &&&%System32%\rasapi32.dll.bak1
& && &&&%System32%\dss.txt
& && &&&%System32\0***.dll-à*号为任意的大写字母
& && &&&%System32%\ rasapi32.dll-----à被病毒感染后的
1.png (80.78 KB, 下载次数: 16)
00:27 上传
& && &&&%System32%\ dllcache目录下：
& && &&&%System32\dllcache\rasapi32.dll--à被病毒感染后的
& && &&&%System32\dllcache\rasapi32.dll.gaga-à如果此目录下存在rasapi32.dll则会被病毒命名为rasapi32.dll.gaga，实际是系统原有正常dll。如果用户机器上此目录下没有rasapi.dll则rasapi32.dll.gaga也不会产生。
2.png (42.93 KB, 下载次数: 13)
00:27 上传
本帖最后由 铁军 于
00:43 编辑
四、病毒母体工作流程分析：
& && &&&1.病毒母体复制自身一份副本到%System32%\dss.txt，并设置为系统文件隐藏属性。
& && &&&2.随机生成以0开头的四个字符的dll名称如：0QVN.dll，并解析母体资源，从资源类型为MOMO的资源中创建在系统目录创建此dll，如%System32%\0QVN.dll，并设置其为系统文、隐藏属性。
& && &&&3.继续解析资源类型为MOMO下的资源并依次创建%System32%\DNFGame.exe，
& && &&&%System32\dlsp.dll，%System32\keepdaili.exe，%System32\qqsockdaili.exe
& && &&&在创建的同时设置他们为系统文件 隐藏属性。其中keepdaili.exe和qqsockdaili.exe是同一个文件。
& && &&&4.紧接着创建%System32\ dllinject.tmp文件，实际上是个ini文件，并写入2中的随机生成的dll名如0QVN.dll.因为名字是随机生成的所以母体的子文件要加载这个dll时必须知道这个dll的名字，所以把dll名保存在ini文件中即保存在dllinject.tmp中。
& && &&&5.病毒母体枚举当前系统可用协议并注册4个SPI传输协议：
& && &&&Layered IP ，
& && &&&Layered TCP/IP over[MSAFD Tcpip [TCP/IP]]，
& && &&&Layered UDP/IP over[MSAFD Tcpip [UDP/IP]]
& && &&&Layered RAW/IP over[MSAFD Tcpip [RAW/IP]]
& && &&&并将他们的服务dll设置为母体释放的dll-àdlsp.dll.然后更新协议的顺序优先性，使他们作为最前面的协议。
3.png (84.85 KB, 下载次数: 9)
00:31 上传
& && &&&6.病毒母体会检测文件%System32%\rasapi32.dll.bak 是否存在，作为当前机器是否被此病毒感染过的标志。
& && &&&7.如果不存在，则病毒母体会检查当前机器的系统版本，如果不是2000 xp net系统，病毒会停止运行并退出。&&
& && &&&8.如果符合病毒母体对操作系统版本的要求，则病毒母体会加载ntdll.dll 和psapi.dll来获得NtQuerySystemInformation NtQueryObject 等函数的地址，并调用psapi.dll的系列函数来枚举系统当前正在运行的进程并依次获得当前的进程路径，并判断进程路径是不是%System32%\winlogon.exe。
& && &&&9.如果是的话，则先提升进程权限到SE_DEBUG，获得其进程ID，并打开此进程获得其句柄，然后调用NtQuerySystemInformation传递16号参数来获得当前系统的句柄信息，通过返回的结构体数组，来循环遍历数组并判断获得的句柄是不是属于%System32%\winlogon.exe进程的。
& && &&&10.如果属于的话则调用NtQueryObject传递1号参数来获得句柄所代表的对象名，如果对象名类似WINDOWS\\SYSTEM32或WINNT\\SYSTEM32则病毒母体会把该句柄dump到病毒母体进程中，防止其在运行中被结束。
& && &&&11.接着病毒会根据系统版本的不同读取%System32\sfc_os.dll或%System32\sfc.dll读取到内存中试图patch以禁止windows系统文件保护机制(因为后面病毒母体会修改系统dll)。
& && &&&12.病毒母体通过在SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon下创建
SFCDisable SFCScan这两个子键将SFCDisable的键值设置为ffffff9d ，SFCScan的键值设置为0.用来禁止windows系统文件保护机制。
4.png (62.47 KB, 下载次数: 11)
00:31 上传
& && &&&13.windows系统文件保护机制禁止之后，病毒会创建%System32\rasapi32.dll的一份副本并命名为%System32\rasapi32.dll.bak1.然后将%System32\rasapi32.dll命名为%System32\rasapi32.dll.bak.然后打开文件%System32\rasapi32.dll.bak1，并为该文件添加一个名为.360的节，其节数据写在源文件末尾.节内容为一段shellcode，然后设置OEP为.360节的其实代码上。
5.png (45.4 KB, 下载次数: 14)
00:32 上传
& && &&&14.如果%System32\dllcache\rasapi32.dll存在的话，病毒母体会将其命名为
& && &&&%System32\rasapi32.dll.gaga，然后将%System32\rasapi32.dll.bak1复制一份副本到
& && &&&%System32\dllcache\rasapi32.dll然后将%System32\dllcache\rasapi32.dll
& && &&&复制一份到%System32\rasapi32.dll.即此时%System32\rasapi32.dll为经过病毒母体感染的dll了。
& && &&&15.最后在病毒母体进程当前目录下创建updataself.bat，用来删除病毒母体和批处理本身.代码：
& && &&&@echo off
& && &&&：try
& && &&&del &2.exe&
& && &&&if exist &2.exe& goto try
& && &&&del updataself.bat
& && &&&至此病毒母体结束。
本帖最后由 铁军 于
00:44 编辑
五、被感染的%System32\rasapi32.dll分析：
& & & & 被感染的rasapi32.dll比原文件多出一个节，节名为.360其相应节数据在原文件末尾。
& & & & 由于OEP位于节.360中，所以该dll在被其他程序加载时会先执行.360节中的代码，而这段代码确切的说是这段shellcode的主要功能类似于外壳shell，其会先获得LoadLibraryA的地址然后加载母体释放的%System32\dlsp.dll，然后跳转到原OEP去执行。
& & & & 即其被感染的rasapi32.dll的主要功能是加载%System32\dlsp.dll，然后完成正常rasapi32.dll所要完成的工作。
本帖最后由 铁军 于
00:48 编辑
六、传输服务提供者dlsp.dll的分析：
& & & & 在其dll初始化时，此dll会先试图读取病毒母体释放的%System32\ dllinject.tmp，实为ini文件，获得病毒母体释放的那个随机DLL名.如0VQN.DLL.然后dlsp.dll加载这个0VQN.dll。
& & & & 由于是传输服务dll，而且其序号优先于系统原有的服务，所以任何有访问网络行为的程序在创建Socket的时候，会优先调用dlsp.dll的WSPStartup导出函数。
& & & & dlsp.dll的WSPStartup函数主要功能是：获取协议原有的服务提供者dll，然后调用获得其WSPStartup函数，并判断当前访问网络的进程是否是DNF.exe，如果是会对其访问的网络信息进行截取保存到%System32%\DNFP.TMP下。
本帖最后由 铁军 于
00:48 编辑
七、主功能DLL 0QVN.dll分析(0QVN.dll是随机生成的)：
& & & & 1.此dll的主要功能就是盗取DNF帐号干掉相关杀软进程等。
& & & & 此dll会首先检查DLL所在的进程主模块名，然后和病毒dll内置的一个要结束的安全软件进程名名单进行比较，如果命中则dll会直接调用exit函数来让进程主动退出.这样就达到了结束杀软的目的。
& & & & 2.然后dll创建线程查看对应目录下病毒母体释放的文件是否存在，如不存在则重新释放他们。
& & & & 3.检查注册表：SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\下的PackedCatalogItem的键值 如果其键值没有dlsp.dll字符串则表明lsp被安全软件恢复，则dll会重新运行病毒的母体副本%System32%\dss.txt。
& & & & 当病毒母体注册SPI传输服务的时候系统会在注册表中为其添加注册表项，分别为：
& & & & SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\
& & & & SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\
& & & & SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\
& & & & SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\
& & & & 4.因为设置了优先性所以新注册的4个服务的序号为1-4.并设置其对应的子键PackedCatalogItem的键值.其中PackedCatalogItem的键值为WSAPROTOCOL_INFO的结构体，里面记载了服务提供dll名等信息。
& & & & 5.接着dll会检查当前正运行的进程中是否有keepdaili.exe的存在， keepdaili.exe为母体释放的EXE，如没有运行则dll会运行此程序。
& & & & 6.然后检测DNF.exe，qqlogin.exe(DNF游戏相关)是否正在运行，则会创建线程读取相关游戏文件以及地下城与勇士窗口信息等并保存。
& & & & 7.检查DNFchina.exe是否在运行如果在运行，则删除相关相关游戏文件如DNF_CHINA.cfg等，并创建线程每隔0.1s查找当前是否有地下城与勇士的窗口如果有获得其登录按钮等句柄信息。
& & & & 8.通过UI和网络SPI劫持网络发包信息的方式试图盗取DNF的帐号信息(属于较老的盗号方式)。
本帖最后由 铁军 于
00:44 编辑
八、keepdaili.exe的简单分析：
& & & & 此病毒程序主要是和0VQN.dll结合起来用于盗取dnf帐号和洗信的目的。
& & & & 其会连接远程代理先检查是否有qqsockdaili.exe的进程在运行如果在运行则结束掉并用， qqsockdaili.exe&&.0.1 8090形式运行qqsockdali.exe。
& & & & 剩下的就是和发信洗信相关了，类似于平常的远控客户端.故不做详细分析。
本帖最后由 铁军 于
00:45 编辑
九、病毒技术点剖析：
& & & & 病毒在盗号上并没有用什么较新的技巧，大部分是以前的即UI流+网络数据包.所以这里不做探讨，只挑取以下方面：
& & & & 1.自启动方式：
& & & & 病毒母体采用了两种启动方式：
& & & & a.感染系统dll。
& & & & 此病毒感染%System32\rasapi32.dll，为其添加一个新节命名为.360.新节数据位于原文件末尾，并把OEP指向新节代码.新节代码是一段外壳shell，主要功能是读取病毒母体预先释放的tmp文件(实际为ini文件)获取文件里的dll名，然后加载这个dll，最后跳转到原OEP去执行。
& & & & 而rasapi32.dll会随用户开机时拨号连接网络时被系统加载.所以这样达到了自启动的目的。
& & & & b.注册SPI传输服务lsp劫持
& & & & 病毒母体注册了4个SPI传输服务并将其服务dll设置为母体释放的dlsp.dll，然后设置其优先性，这样就导致了任何一个程序在创建Socket时会先调用此dll作为其服务dll，这样就达到了自启动。
& & & & 2.通过设置注册表来禁用windows系统文件保护机制。
& & & & 病毒母体通过在SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon下创建SFCDisable SFCScan这两个子键将SFCDisable的键值设置为ffffff9d ，SFCScan的键值设置为0.用来禁止windows系统文件保护机制。
& & & & 当注册SPI服务但是未设置优先性时：
6.png (80.33 KB, 下载次数: 12)
00:38 上传
& & & & 此时程序在访问网络时病毒dll不会被加载。
& & & & 当设置优先性：
7.png (44.79 KB, 下载次数: 12)
00:38 上传
& & & & 此时访问网络时病毒dll会被加载。
& & & & 病毒SPI注册表：
8.png (49.47 KB, 下载次数: 10)
00:39 上传
& & & & 病毒要友好结束的安全软件进程名单：
9.png (121.02 KB, 下载次数: 11)
00:39 上传
系统rasapi32.dll感染前后对比：
10.png (95.17 KB, 下载次数: 11)
00:39 上传
本帖最后由 铁军 于
00:58 编辑
十、特别说明：
& & & & 1.此病毒以SPI以及感染系统重要dll的方式来达到启动自身的目的，可以过掉杀软的主动防御.只要病毒未清除，开机即会运行启动病毒。
& & & & 2.由于病毒内置一个他想要结束的安全软件进程的名单，当用户机器启动，相关杀软启动运行时，其dll会被系统加载到杀软进程的进程地址空间中。
& & & & a.如果该进程符合其进程黑名单，则病毒dll会让该杀软进程主动退出。
& & & & b.如果用户机器上的某款杀软在启动时有多个进程驻留，而其只有一个或几个在病毒的黑名单中的话，则这几个退出，剩下的不退出，比如 杀软的主界面程序没有退出，但是其连接云端服务的程序退出的话，会再其主界面上显示连接云服务失败等。
& & & & c.根据用户中毒时杀软的运行状况，可能会在病毒运行，杀软出现卡死的现象如其相关进程CPU占用率极高等.这可能是由于各杀软的各个模块之间的通信机制以及同步等原因导致.。
铁军的病毒分析很详尽啊，厉害！&
``学习下！！！
好多楼楼。
本帖最后由 kavcc 于
01:00 编辑
前来学习下~ 军哥辛苦了~!
珠海病毒分析组V5~~~
前来学习了~~~军哥你辛苦了~！
珠海的病毒分析组同时辛苦了，V5。。
哎呀 前排围观了~支持支持
学习一下！用了金山毒霸，本电脑就不怕DNF
支持&&毒霸工作人员辛苦了
牛，病毒自带杀软进程列表，竟然能使主进程友好退出，且不影响其他方面！
咱要多发技术贴，顶起来。
毒霸病毒分析V5~~
逛了这许久，何不进去瞧瞧？
关注我们：你要找的是
史上最牛DNF连发工具SET_AHKV1.5.2稳定版
所属标签：
文件大小：
累计下载：
游戏专区：
交流分享：
最后更新时间
插件类型：
实用小工具
& &鼠标指向星星点击评分
插件使用说明
补丁删除工具
DNF连发工具SET_AHK V1.5.2稳定版，可设置多键连发、组合键连发、各种技能、甚至自动喊话（当然我并不推荐用这个功能，百宝箱有很多自动喊话的）
有很多人问什么连发好用，我推荐SET_AHK V1.5.2稳定版，用这个工具已经有1年多快两年的时间了，
之前一直都是用单键连发，感觉很不给力，后来朋友发了SET_AHK V1.5.2就一直用到现在，
虽然作者已经出了新版本，但个人觉得还是这个版本比较好用.
不废话下载地址：
==============以下是教程==============================
解压缩文件后会得到如下文件：
SET_AHK.exe -----连发设置生成器
SET_AHK.dll -----生成器DLL文件
SET_AHK.bin -----生成器资源文件
upx.exe -----生成器压缩文件
config -----这个文件夹是空的，当你保存了方案后会生成一个配置文件
DNF_AHK.exe -----连发工具,由SET_AHK.exe生成
说明.txt -----原作者的说明文件（我不是作者，我只是把这个教程完善一下）
截图如下：
SET_AHK.bin这个文件大家的图标也许会略有不同，我就不解释了。
运行 SET_AHK.exe得到如下界面:（看不清楚图片就另存一下再看）
点&生成连发&的是很建议大家选择&否& 当然在&生成连发&之前最好是先把你的设置保存一下；
生成完毕后运行DNF_AHK.exe 会在你的任务栏的右下角出现一个绿色的图标 当你需要暂停的时候可以按总开关，比如你设置的是F12就按F12这个绿色的图标就会变成红色的，这样你就可以正常使用键盘了 ；友情提示：输入账号密码的时候注意暂停连发程序；
单一普通连发按键没什么好说的，就说一下组合键设置，就拿男毒王举一个例子：
解说一下：这个是按我平时刷图的习惯设置的，R我设置的是强化投掷、E毒针、Q毒瓶、Y砖头，没有网放上去，而是单独做一个；这样设置好以后，只要按一次N就是强化毒针，再按就是强化毒瓶、第三次就是强化砖头，这样设置的好处就是你可以一直按N来循环三个强化投掷，也可以单独按R\E\Q就不会强化；
模式2类似于按键精灵，不推荐使用，其它的功能就看下原作者的说明文件，大家可以自行摸索或者大家一起讨论一下。
以下是360的杀毒记录：你也可以用别的软件杀一下
360杀毒扫描日志
病毒库版本： 01:49
扫描时间： 19:20:41
扫描用时：00:00:19
扫描类型：右键扫描
扫描文件总数：7
威胁总数：0
清除威胁数：0
----------------------
扫描所有文件：是
扫描压缩包：否
发现病毒处理方式：由360杀毒自动处理
使用云查杀引擎：是
扫描磁盘引导区：是
扫描 Rootkit：否
使用QVM启发式引擎：是
常规引擎设置：BitDefender
----------------------
C:\Documents and Settings\Administrator\桌面\SET_AHK V1.5.2稳定版
模型修改包使用说明
本模型修改插件站资源分为三大类。
IMG资源、傻瓜包、工具
IMG资源需要自己动手替换自己的时装部位，适合有时装想学习的朋友，需要一点动手能力。
具体的使用教程请点击&& &&&&&&&&
傻瓜包使用教程
傻瓜包使用起来非常的方便，下载！解压缩！复制！粘贴！&
4大步骤即可搞定傻瓜包
首先你要找到你的DNF客户端文件下的& ImagePacks2 文件夹，然后讲傻瓜包内的文件直接粘贴复制进来即可。
看清楚了，是ImagePacks2& 不是ImagePacks3。
如果你找不到你的客户端文件。哪么继续往下面看！！！（看不会的自杀好了！）
首先在桌面找到你的DNF 图标文件！
然后用你的鼠标右键点击他！！！！！
然后就会出现这个画面！！！！！用你的鼠标左键点击& 红色框体的 属性！！如果没有出现& 哪么继续重复第一步骤到这里来。
右键点击属性后哪么会出现这个框体，我们无视其他的！直接点击上图中的红色框体按钮（查找目标）
点击后会出现一个文件夹！！这个就是DNF的客户端文件夹了！我们继续！！看见红色框体的位置按钮了吗！！再点击一下！！！用鼠标左键！！不要鼠标右键！！！
是不是出现这个画面了！！！是不是看见& ImagePacks2& 文件夹了！！！这个就是我们要把东西复制进去的地方！！！双击它！！！然后将你刚才下载的解压缩包内的文件丢进去！！！！！！！！！！！！！！！
以上是傻瓜包的使用教程！！！谢谢收看！！
你问我工具的使用教程？？一般使用工具的教程下面都有使用说明。
把模型分给全国玩家只需4步！
登陆>选择文件>填写资料>上传 只需4步
DNF界面美化补丁推荐专题
村米界面V4.0版本
编辑推荐栏
编辑推荐栏
周下载排行榜
工具 下载排行榜发布最新版任意键连发SET_AHK V1.6.1，新增加连发不影响聊天-DNF补丁模型区 -
Powered by Discuz! Archiver
发布最新版任意键连发SET_AHK V1.6.1，新增加连发不影响聊天
http://image_server//4.jpg
-----------------使用说明-----------------
设置自己的连发键：
下载好之后运行 SET_AHK.exe然后设置你要连发的按键，比如X键，然后点增加，然后点生成连发，就会在目录下面生成一个新文件： AHK.exe
AHK.exe可以单独运行的，你可以复制该文件到其他地方保存起来，SET_AHK.exe文件不需要了，当然了，要修改按键必须要用它。
如何使用连发工具：
运行上面生成好的 AHK.exe 就可以了，工具首次运行自动开启连发。
注意：右下角的图标是H就表示开启，如果要打字就再按次连发开关键(连发开关可以在工具里设置,默认是F12键)，右下角图标变S就表示暂停连发能，打字完再按次连发开关键保持连发的开启状态。
工具集成的键盘延时设置功能其实是写入注册表的，你也可以自己去改注册表HKEY_CURRENT_USER\\Control Panel\\Keyboard，工具默认2031是推荐值，你如果觉得不够可以自己改。
-----------------更新说明-----------------
该版本更新比较重大，强烈推荐更新。。。。。。
连发分为两种模式：兼容模式和极速模式
兼容模式：推荐使用该模式，连发不影响打字聊天[默认使用该模式]，而且速度也非常快
极速模式：最快的连发模式，1.60以前的版本默认使用该模式，适合那些打字适不怕麻烦用热键开关的人。
删除组合键里的模式2，根本用不到，而且有按键精灵，完全不需要了，优化模式1。
更改方案的格式，更加直观，请把旧版本的配置文件删除掉。
由于兼容模式刚刚加入，请大家踊跃测试，看看是否有BUG存在。
1.6.0稳定版：
重写SET_AHK.dll修正各种BUG，并公开DLL函数，喜欢自己编脚本的可以拿去用了。
DLL公开函数：
bool Convert(char *szSource, char *szDest, char *szIcon, char *szPass, BOOL aAllowDecompile, char *szBin)
修正组合键模式2无法停止按键宏的BUG，现在可以随时停止了。
修正组合键的鼠标点击会出现无效的BUG，以前的脚本必须重做才能无BUG，只要改点击鼠标的那句就可以了，比如：
Click,597,89& &要改成：
Click,597,89,0
这样才不会卡住，先移动鼠标过去，延时下，然后在点击。
-----------------文件说明-----------------
SET_AHK.exe-----连发设置生成器
SET_AHK.dll-----生成器DLL文件
SET_AHK.bin-----生成器资源文件
upx.exe& && &-----生成器压缩文件
AHK.exe-----连发工具,由SET_AHK.exe生成
SET_AHK.exe
文件版本信息:1.6.1
MD5: 920e1b082ae2f
该连发工具基于AutoHotkey核心制作而成，请以系统管理员身份运行SET_AHK.exe和AHK.exe，否则无法正常生成连发和使用连发，支持32位XP WIN7等系统。
-----------------作者信息-----------------
Creep345制作
发现BUG请联系我，本工具以后不开发新功能了，只修正BUG。
如果杀毒软件报毒请直接删除本连发工具即可，不用联系我了，误报我是无能为力的，当然你也可以暂时先关闭杀毒软件在开连发工具。
-----------------使用技巧-----------------
连发键没什么说的，直接设置然后点生成就可以了，这里主要说下组合键的用法（本工具的组合键效率超级高，不存在效率问题）：
DNF的后跳设置方法：
send,{down down}
send,{down up}
复制到按键宏里面，然后设置下主热键，然后点增加，生成连发工具之后就可以使用了，注意这里的按键是游戏默认的，如果你设置成其他的就自己改吧。
c=跳 x=攻击 left=左 right=右 down=下
剑魂后跳斩100%扫地设置方法（比如对手倒地后跑到位置近点的地方立马按这个组合键，然后在按李鬼或者裂波100%能接上）：
send,{left}
send,{down down}
send,{down up}
send,{x up}
send,{right}
send,{down down}
send,{down up}
send,{x up}
必须设置左右，这样才不会出错，比如先XXX，然后马上放开X键按上面设置的后跳斩热键，发出后跳斩之后就可以接任何技能，比如李鬼，烈波斩等都能打到。
DNF任何职业左原地跑跑X的设置方法（比如格斗和蓝拳用的最多，经常需要原地发）：
send,{right}
send,{right}
右原地撞的设置方法：
send,{left}
send,{left}
注意这里的方向键是游戏默认的，如果你设置成其他的就自己改吧，最后的70延时其实可以自己改改，可能不适合你。
其他的比如一些技能就没什么特别的了，按照游戏里技能的出招表设置就能正常发出，而且效率绝对很高。
关于组合键设置鼠标的问题：
如果要设置DNF的鼠标坐标，请先把游戏设置成窗口模式，然后在需要获取坐标的位置按鼠标右键就能获取到了，设置完后使用时你不需要把游戏窗口移动到设置时的位置，窗口随便在哪都有效。
下载地址：
**** Hidden Message *****
08:36 被 蓝之翊翎 编辑过! ]
敷、?丨子＂
马勒戈壁的、木马、。
如果杀毒软件报毒请直接删除本连发工具即可，不用联系我了，误报我是无能为力的，当然你也可以暂时先关闭杀毒软件在开连发工具。
文盲就别BB了static/image/oldsmile/3111.gif
如血の残阳
顶。。。。。
顶顶顶顶顶顶顶顶顶顶顶顶
联合撒客家话机和
yunyun0322
static/image/oldsmile/3080.gifstatic/image/oldsmile/3080.gifstatic/image/oldsmile/3080.gif
shaojin188
static/image/oldsmile/3099.gif
yunyun0322
static/image/oldsmile/3080.gifstatic/image/oldsmile/3080.gifstatic/image/oldsmile/3080.gif
static/image/oldsmile/3072.gif
我擦泪安德森是
神之启世录
static/image/oldsmile/3080.gifstatic/image/oldsmile/3080.gif
static/image/oldsmile/3064.gifstatic/image/oldsmile/3064.gifstatic/image/oldsmile/3064.gifstatic/image/oldsmile/3064.gif
马勒戈壁的、木马
static/image/oldsmile/3064.gif
蓝天碧海online
asssssssssssssssss
static/image/oldsmile/3065.gifstatic/image/oldsmile/3065.gifstatic/image/oldsmile/3065.gifstatic/image/oldsmile/3065.gif
查看完整版本: