地2次做外挂经历
自己做外挂哈哈
随着网络游戏的益火爆，很多玩家都投身到游戏中。目前很多玩家都依赖于一些游戏的外挂程序来进行游戏。那么做一个游戏的外挂程序是否是一件很困难的事呢？回答是"否"，诚然编写一些程序是需要一些基本知识的，所以我们想以最简单的语言来给你讲授编写外挂程序的一些技巧，一些方法，并提供给你一些基本的辅助工具，即使你是一个菜鸟，看了我们的教程，并技巧地使用我们提供给你的工具，你完全能够编写出一个完全属于你自己的外挂。在本教程内，我们提供了金庸群侠传，以及网络三国这两个游戏的修改实际例子，因为这两款游戏都是对封包进行过加密运算的，如果你对这两个游戏的修改有了一定的了解后，相信你在其他游戏中也能非常好地做出属于自己的外挂。我们提供了金庸打增援20个NPC和网络三国在PK中自动吃药，自动发镖这两个实际的例子，让你上手更容易。我们会在教程内讲授给你怎么去破解封包的加密算法，怎么利用我们提供给你工具来伪造和发送封包。本教程除了文字教程外，我们还会提供金庸群侠和三国的外挂程序，另外还提供6个外挂制作工具，以供你使用。希望在以后的游戏中，每一个玩家都能够在游戏中成长起来，不但游戏玩的出色，修改游戏也同样出色，做一个真正的游戏
DIY。 Y:}c2bB8_
H&T&;:大家自己做外挂
要想在修改游戏中做到百战百胜，是需要相当丰富的计算机知识的。有很多计算机高手就是从玩游戏，修改游戏中，逐步对计算机产生浓厚的兴趣，逐步成长起来的。不要在羡慕别人能够做到的，因为别人能够做的你也能够！我相信你们看了本教程后，会对游戏有一个全新的认识，呵呵，因为我是个好老师！（别拿鸡蛋砸我呀，救命啊！#￥%……*）
不过要想从修改游戏中学到知识，增加自己的计算机水平，可不能只是靠修改游戏呀！ "OL?\HJv
要知道，修改游戏只是一个验证你对你所了解的某些计算机知识的理解程度的场所，只能给你一些发现问题、解决问题的机会，只能起到帮助你提高学习计算机的兴趣的作用，而决不是学习计算机的捷径。
POj-;=n=41
一：什么叫外挂？ Yncx&[~&y
现在的网络游戏多是基于Internet上客户／服务器模式，服务端程序运行在游戏服务器上，游戏的设计者在其中创造一个庞大的游戏空间，各地的玩家可以通过运行客户端程序同时登录到游戏中。简单地说，网络游戏实际上就是由游戏开发商提供一个游戏环境，而玩家们就是在这个环境中相对自由和开放地进行游戏操作。那么既然在网络游戏中有了服务器这个概念，我们以前传统的修改游戏方法就显得无能为力了。记得我们在单机版的游戏中，随心所欲地通过内存搜索来修改角色的各种属性，这在网络游戏中就没有任何用处了。因为我们在网络游戏中所扮演角色的各种属性及各种重要资料都存放在服务器上，在我们自己机器上（客户端）只是显示角色的状态，所以通过修改客户端内存里有关角色的各种属性是不切实际的。那么是否我们就没有办法在网络游戏中达到我们修改的目的？回答是"否"。我们知道Internet客户／服务器模式的通讯一般采用TCP/IP通信协议，数据交换是通过IP数据包的传输来实现的，一般来说我们客户端向服务器发出某些请求，比如移动、战斗等指令都是通过封包的形式和服务器交换数据。那么我们把本地发出消息称为SEND，意思就是发送数据，服务器收到我们SEND
的消息后，会按照既定的程序把有关的信息反馈给客户端，比如，移动的坐标，战斗的类型。那么我们把客户端收到服务器发来的有关消息称为RECV。知道了这个道理，接下来我们要做的工作就是分析客户端和服务器之间往来的数据（也就是封包），这样我们就可以提取到对我们有用的数据进行修改，然后模拟服务器发给客户端，或者模拟客户端发送给服务器，这样就可以实现我们修改游戏的目的了。
目前除了修改游戏封包来实现修改游戏的目的，我们也可以修改客户端的有关程序来达到我们的要求。我们知道目前各个服务器的运算能力是有限的，特别在游戏中，游戏服务器要计算游戏中所有玩家的状况几乎是不可能的，所以有一些运算还是要依靠我们客户端来完成，这样又给了我们修改游戏提供了一些便利。比如我们可以通过将客户端程序脱壳来发现一些程序的判断分支，通过跟踪调试我们可以把一些对我们不利的判断去掉，以此来满足我们修改游戏的需求。
在下几个章节中，我们将给大家讲述封包的概念，和修改跟踪客户端的有关知识。大家准备好了吗？ {bqR K`\
游戏数据格式和存储： LZEx&PDm
在进行我们的工作之前，我们需要掌握一些关于计算机中储存数据方式的知识和游戏中储存数据的特点。本章节是提供给菜鸟级的玩家看的，如果你是高手就可以跳过了，呵呵！
如果，你想成为无坚不摧的剑客，那么，这些东西就会花掉你一些时间；如果，你只想作个江湖的游客的话，那么这些东西，了解与否无关紧要。是作剑客，还是作游客，你选择吧！
现在我们开始！首先，你要知道游戏中储存数据的几种格式，这几种格式是：字节(BYTE)、字(WORD)和双字(DOUBLE
WORD)，或者说是8位、16位和32位储存方式。字节也就是8位方式能储存0~255的数字；字或说是16位储存方式能储存0~65535的数；双字即32位方式能储存0~的数。
为何要了解这些知识呢？在游戏中各种参数的最大值是不同的，有些可能100左右就够了，比如，金庸群侠传中的角色的等级、随机遇敌个数等等。而有些却需要大于255甚至大于65535，象金庸群侠传中角色的金钱值可达到数百万。所以，在游戏中各种不同的数据的类型是不一样的。在我们修改游戏时需要寻找准备修改的数据的封包，在这种时候，正确判断数据的类型是迅速找到正确地址的重要条件。
在计算机中数据以字节为基本的储存单位，每个字节被赋予一个编号，以确定各自的位置。这个编号我们就称为地址。
在需要用到字或双字时，计算机用连续的两个字节来组成一个字，连续的两个字组成一个双字。而一个字或双字的地址就是它们的低位字节的地址。
现在我们常用的Windows
9x操作系统中，地址是用一个32位的二进制数表示的。而在平时我们用到内存地址时，总是用一个8位的16进制数来表示它。
二进制和十六进制又是怎样一回事呢？ WQsoNbiu G
简单说来，二进制数就是一种只有0和1两个数码，每满2则进一位的计数进位法。同样，16进制就是每满十六就进一位的计数进位法。16进制有0--F十六个数字，它为表示十到十五的数字采用了A、B、C、D、E、F六个数字，它们和十进制的对应关系是：A对应于10，B对应于11，C对应于12，D对应于
13，E对应于14，F对应于15。而且，16进制数和二进制数间有一个简单的对应关系，那就是；四位二进制数相当于一位16进制数。比如，一个四位的二进制数1111就相当于16进制的F，1010就相当于A。
了解这些基础知识对修改游戏有着很大的帮助，下面我就要谈到这个问题。由于在计算机中数据是以二进制的方式储存的，同时16进制数和二进制间的转换关系十分简单，所以大部分的修改工具在显示计算机中的数据时会显示16进制的代码，而且在你修改时也需要输入16进制的数字。你清楚了吧？
在游戏中看到的数据可都是十进制的，在要寻找并修改参数的值时，可以使用Windows提供的计算器来进行十进制和16进制的换算，我们可以在开始菜单里的程序组中的附件中找到它。
现在要了解的知识也差不多了！不过，有个问题在游戏修改中是需要注意的。在计算机中数据的储存方式一般是低位数储存在低位字节，高位数储存在高位字节。比如，十进制数41715转换为16进制的数为A2F3，但在计算机中这个数被存为F3A2。
看了以上内容大家对数据的存贮和数据的对应关系都了解了吗？
好了，接下来我们要告诉大家在游戏中，封包到底是怎么一回事了，来！大家把袖口卷起来，让我们来干活吧！
二：什么是封包？
怎么截获一个游戏的封包？ rPs'6^&0k
怎么去检查游戏服务器的ip地址和端口号？ 0JH.$vj\=
Internet用户使用的各种信息服务，其通讯的信息最终均可以归结为以IP包为单位的信息传送，IP包除了包括要传送的数据信息外，还包含有信息要发送到的目的IP地址、信息发送的源IP地址、以及一些相关的控制信息。当一台路由器收到一个IP数据包时，它将根据数据包中的目的IP地址项查找路由表，根据查找的结果将此IP数据包送往对应端口。下一台IP路由器收到此数据包后继续转发，直至发到目的地。路由器之间可以通过路由协议来进行路由信息的交换，从而更新路由表。
那么我们所关心的内容只是IP包中的数据信息，我们可以使用许多***网络的工具来截获客户端与服务器之间的交换数据，下面就向你介绍其中的一种工具：WPE。
WPE使用方法： Lz]MT|
执行WPE会有下列几项功能可选择： Sx FXg&QNj
SELECT GAME
选择目前在记忆体中您想拦截的程式，您只需双击该程式名称即可。 s.cQmpw
TRACE +'Tay8WE#
追踪功能。用来追踪撷取程式送收的封包。 Y&A7}-R]q
WPE必须先完成点选欲追踪的程式名称，才可以使用此项目。 T7;8 Cv%
按下Play键开始撷取程式收送的封包。 cxLK'&bo
您可以随时按下 | | 暂停追踪，想继续时请再按下 | | 。 u _&Yi.Lfz
按下正方形可以停止撷取封包并且显示所有已撷取封包内容。
若您没按下正方形停止键，追踪的动作将依照OPTION里的设定值自动停止。
如果您没有撷取到资料，试试将OPTION里调整为Winsock Version 2。
WPE 及 Trainers 是设定在显示至少16 bits 颜色下才可执行。 qz X.) 4
FILTER v%RWio
过滤功能。用来分析所撷取到的封包，并且予以修改。 gU$sC]_FF
SEND PACKET bT~FV9'
送出封包功能。能够让您送出假造的封包。 p1k|i4#rt
TRAINER MAKER _advfhx!
制作修改器。 dhu_zT*U)
OPTIONS 2z|z!HJ'
设定功能。让您调整WPE的一些设定值。 nF`'Q*
FILTER的详细教学 ~y\g91/g
- 当FILTER在启动状态时 ，ON的按钮会呈现红色。
`9Xz3Y&.&Y
- 当您启动FILTER时，您随时可以关闭这个视窗。FILTER将会保留在原来的状态，直到您再按一次 on / off 钮。 0_
- 只有FILTER启用钮在OFF的状态下，才可以勾选Filter前的方框来编辑修改。 o lMja
- 当您想编辑某个Filter，只要双击该Filter的名字即可。 mI.]zfa
NORMAL MODE： }r6p$"]}
范例： @W(6pyQd
当您在 Street Fighter Online
?快打旋风线上版?游戏中，您使用了两次火球而且击中了对方，这时您会撷取到以下的封包： gZ*{9EQ1
21 06 01 04 &'h
87 00 67 FF A4 AA 11 22 00 00 00
00 No%&}TF
11 09 11 09
C1 10 00 00 FF 52 44
C1 10 00 00 66 52 44
您的第一个火球让对方减了16滴?16 = 10h?的生命值， dn,P2_nf
而您观察到第4跟第5个封包的位置4有10h的值出现，应该就是这里了。 .kd]Cqi_
您观察10h前的0A 09 C1在两个封包中都没改变，可见得这3个数值是发出火球的关键。 \$yKHZ 6"
因此您将0A 09 C1 "Kp:i@T~
10填在搜寻列?SEARCH?，然后在修改列?MODIFY?的位置4填上FF。如此一来，当您再度发出火球时，FF会取代之前的10，也就是攻击力为255的火球了！
ADVANCED MODE： 0&_ AHv
范例： JCX;Q\
当您在一个游戏中，您不想要用真实姓名，您想用修改过的假名传送给对方。在您使用TRACE后，您会发现有些封包里面有您的名字出现。假设您的名字是Shadow，换算成16进位则是?53
68 61 64 6F 77?；而您打算用moon?6D 6F 6F 6E 20 20?来取代他。 ,5} FC~oF
21 06 01 04 +5JlRcc
99 53 68 61 64 6F 77 00 01 05
11 09 11 09 O-pagUU+P
C1 10 00 53 68 61 64 6F 77 00
C1 10 00 00 66 52 44
{0D^L-ZI0|
但是您仔细看，您的名字在每个封包中并不是出现在相同的位置上 &CVUa.%D
- 在第2个封包里，名字是出现在第4个位置上 (N={?d9p
- 在第4个封包里，名字是出现在第6个位置上 O;4kU|Oq)#
在这种情况下，您就需要使用ADVANCED MODE ./]*V+!?-
- 您在搜寻列?SEARCH?填上：53 68 61 64 6F 77 ?请务必从位置1开始填? qYBW|kDG
- 您想要从原来名字Shadow的第一个字母开始置换新名字，因此您要选择从数值被发现的位置开始替代连续数值?from the
position of the BF\0*R}N
chain found?。& (kl?.2;
- 现在，在修改列?MODIFY?000的位置填上：6D 6F 6F 6E 20 20
?此为相对应位置，也就是从原来搜寻栏的+001位置开始递换?
- 如果您想从封包的第一个位置就修改数值，请选择?from the beginning of the
packet?& {^:7s[3
了解一点TCP/IP协议常识的人都知道，互联网是将信息数据打包之后再传送出去的。每个数据包分为头部信息和数据信息两部分。头部信息包括数据包的发送地址和到达地址等。数据信息包括我们在游戏中相关操作的各项信息。那么在做截获封包的过程之前我们先要知道游戏服务器的IP地址和端口号等各种信息，实际上最简单的是看看我们游戏目录下，是否有一个SERVER.INI的配置文件，这个文件里你可以查看到个游戏服务器的IP地址，比如金庸群侠传就是如此，那么除了这个我们还可以在DOS下使用NETSTAT这个命令，
NETSTAT命令的功能是显示网络连接、路由表和网络接口信息，可以让用户得知目前都有哪些网络连接正在运作。或者你可以使用木马客星等工具来查看网络连接。工具是很多的，看你喜欢用哪一种了。
W#QO8]Z M^
NETSTAT命令的一般格式为： H[NfnB&et
NETSTAT [选项] RdV(GLe:]
命令中各选项的含义如下： l`xcm$I 4
-a 显示所有socket，包括正在***的。 S#aM]
-c 每隔1秒就重新显示一遍，直到用户中断它。 9'Un?9
-i 显示所有网络接口的信息。 7/7`Mu[H
-n 以网络IP地址代替名称，显示出网络连接情形。 yKx/h5[g
-r 显示核心路由表，格式同"route -e"。 FRk DcX2
-t 显示TCP协议的连接情况。 Dwqa[f#=
-u 显示UDP协议的连接情况。 { fJlw6
-v 显示正在进行的工作。 ^&T)0%|
三：怎么来分析我们截获的封包？ Ay mB#\
首先我们将WPE截获的封包保存为文本文件，然后打开它，这时会看到如下的数据（这里我们以金庸群侠传里PK店小二客户端发送的数据为例来讲解）：
第一个文件： _w:eYp3J_
0D 22 7E 6B E4 17 13 13 12 13 12
13 67 1B Lqu`3_9\|
DD 34 12 12 12 12 17 12 0E 12 12
12 9B W&"1Iz |
1E F1 29 06 17 12 3B 0E 17 1A
1B C0 68 12 12 12 5A
02 C8 13 C9 7E 6B E4 17 10 35 27
13 12 12 H$*!' a
17 C9 12 XR8G* Z
第二个文件：*Hd&W&_
68 47 1B 0E 81 72 76 76 77 76 77
76 02 7E 4.)V{%E
07 1C 77 77 77 77 72 77 72 77 77
77 6D Tn-CKKw|
7B 94 4C 63 72 77 5E 6B 72 F3
7E A5 21 77 77 77
67 AD 76 CF 1B 0E 81 72 75 50 42
76 77 77& {dA]
72 AC 77 Q|aGZ{6W
我们发现两次PK店小二的数据格式一样，但是内容却不相同，我们是PK的同一个NPC，为什么会不同呢？
原来金庸群侠传的封包是经过了加密运算才在网路上传输的，那么我们面临的问题就是如何将密文解密成明文再分析了。 Z
因为一般的数据包加密都是异或运算，所以这里先讲一下什么是异或。 yX?$NS
简单的说，异或就是"相同为0，不同为1"（这是针对二进制按位来讲的），举个例子，异或，我们按位对比，得到异或结果是0011，计算的方法是：0001的第4位为0，0010的第4位为0，它们相同，则异或结果的第4位按照"相同为0，不同为1"的原则得到0，0001的第3位为
0，0010的第3位为0，则异或结果的第3位得到0，0001的第2位为0，0010的第2位为1，则异或结果的第2位得到1，0001的第1位为
1，0010的第1位为0，则异或结果的第1位得到1，组合起来就是0011。异或运算今后会遇到很多，大家可以先熟悉熟悉，熟练了对分析很有帮助的。
下面我们继续看看上面的两个文件，按照常理，数据包的数据不会全部都有值的，游戏开发时会预留一些字节空间来便于后的扩充，也就是说数据包里会存在一些"00"的字节，观察上面的文件，我们会发现文件一里很多"12"，文件二里很多"77"，那么这是不是代表我们说的"00"呢？推理到这里，我们就开始行动吧！
我们把文件一与"12"异或，文件二与"77"异或，当然用手算很费事，我们使用"M2M 1.0
加密封包分析工具"来计算就方便多了。得到下面的结果： eAGs0rJ
第一个文件： yS/:n
1F 30 6C 79 F6 05 01 01 00 01 00
01 75 09 U]]CB#RLB
CF 26 00 00 00 00 05 00 1C 00 00
00 89 l19 A&N#P^
0C E3 3B 13 05 00 29 1C 05 08
09 D2 7A 00 00 00 48
10 DA 01 DB 6C 79 F6 05 02 27 35
01 00 00 6"W `
05 DB 00 TX]Uk^)5
第二个文件： :.Hp&F
1F 30 6C 79 F6 05 01 01 00 01 00
01 75 09 3F1w#s|_
70 6B 00 00 00 00 05 00 05 00 00
00 1A a#pCI-![d
0C E3 3B 13 05 00 29 1C 05 84
09 D2 56 00 00 00 48 |~1sA
10 DA 01 B8 6C 79 F6 05 02 27 35
01 00 00 _tx:~)ue&
05 DB 00 f(-^16KK
哈，这一下两个文件大部分都一样啦，说明我们的推理是正确的，上面就是我们需要的明文！ K$i&D)
接下来就是搞清楚一些关键的字节所代表的含义，这就需要截获大量的数据来分析。 #[&;RVrn
首先我们会发现每个数据包都是"F4
44"开头，第3个字节是变化的，但是变化很有规律。我们来看看各个包的长度，发现什么没有？对了，第3个字节就是包的长度！
"R2jN(,&/'
通过截获大量的数据包，我们判断第4个字节代表指令，也就是说客户端告诉服务器进行的是什么操作。例如向服务器请求战斗指令为"30"，战斗中移动指令为"D4"等。
接下来，我们就需要分析一下上面第一个包"F4 44 1F 30 6C 79 F6 05 01 01 00 01 00 01 75 09
05 00 CF 4JgwD rq%
26 00 00 00 00 05 00 1C 00 00 00
89"，在这个包里包含什么信息呢？应该有通知服务器你PK的哪个NPC吧，我们就先来找找这个店小二的代码在什么地方。
我们再PK一个小喽罗（就是大理客栈外的那个咯）： [-f]d5y
1F 30 D4 75 F6 05 01 01 00 01 00
01 75 09 =7?wVT `8
8A 19 00 00 00 00 11 00 02 00 00
00 C0 A 7AJV&
我们根据常理分析，游戏里的NPC种类虽然不会超过65535（FFFF），但开发时不会把自己限制在字的范围，那样不利于游戏的扩充，所以我们在双字里看看。通过"店小二"和"小喽罗"两个包的对比，我们把目标放在"6C
79 F6 05"和"CF 26 00 U.C&A&9da
00"上。（对比一下很容易的，但你不能太迟钝咯，呵呵）我们再看看后面的包，在后面的包里应该还会出现NPC的代码，比如移动的包，游戏允许观战，服务器必然需要知道NPC的移动坐标，再广播给观战的其他玩家。在后面第4个包"SEND-&
10 DA 01 DB 6C 79 F6 05 02 27 35 01 00 00"里我们又看到了"6C 79
F6 $S&Ad[d
05"，初步断定店小二的代码就是它了！
（这分析里边包含了很多工作的，大家可以用WPE截下数据来自己分析分析） a1dx?d9a4
第一个包的分析暂时就到这里（里面还有的信息我们暂时不需要完全清楚了） OT47Xz
我们看看第4个包"SEND-&
10 DA 01 DB 6C 79 F6 05
02 27 35 01 00 5b&P 4cM
00"，再截获PK黄狗的包，（狗会出来2只哦）看看包的格式： � /u3+
1A DA 02 0B 4B 7D F6 05 02 27 35
01 00 00 vd Yv]L
SEND-& 0010 EB 03 F8 05 02 27 36 01 00 00
根据上面的分析，黄狗的代码为"4B 7D F6 05"（），不过两只黄狗服务器怎样分辨呢？看看"EB 03 F8
05"（），是上一个代码加上100000，呵呵，这样服务器就可以认出两只黄狗了。我们再通过野外遇敌截获的数据包来证实，果然如此。
那么，这个包的格式应该比较清楚了：第3个字节为包的长度，"DA"为指令，第5个字节为NPC个数，从第7个字节开始的10个字节代表一个NPC的信息，多一个NPC就多10个字节来表示。
fL&f3#gR/J
大家如果玩过网金，必然知道随机遇敌有时会出现增援，我们就利用游戏这个增援来让每次战斗都会出现增援的NPC吧。
通过在战斗中出现增援截获的数据包，我们会发现服务器端发送了这样一个包： J? JB9kg
F4 44 12 E9 EB 03 F8 05 02 00 00 03 00 00 00 00 00 00
5-tw1a%:{/
第5-第8个字节为增援NPC的代码（这里我们就简单的以黄狗的代码来举例）。 wE`[Rl
那么，我们就利用单机代理技术来同时欺骗客户端和服务器吧！ q=EZ~& l
好了，呼叫NPC的工作到这里算是完成了一小半，接下来的事情，怎样修改封包和发送封包，我们下节继续讲解吧。 7PWeaT
四：怎么冒充"客户端"向"服务器"发我们需要的封包？ =TU:^
这里我们需要使用一个工具，它位于客户端和服务器端之间，它的工作就是进行数据包的接收和转发，这个工具我们称为代理。
如果代理的工作单纯就是接收和转发的话，这就毫无意义了，但是请注意：所有的数据包都要通过它来传输，这里的意义就重大了。我们可以分析接收到的数据包，或者直接转发，或者修改后转发，或者压住不转发，甚至伪造我们需要的封包来发送。
下面我们继续讲怎样来同时欺骗服务器和客户端，也就是修改封包和伪造封包。 ng~&]s
通过我们上节的分析，我们已经知道了打多个NPC的封包格式，那么我们就动手吧！
首先我们要查找客户端发送的包，找到战斗的特征，就是请求战斗的第1个包，我们找"F4 44 1F
30"这个特征，这是不会改变的，当然是要解密后来查找哦。 +Q IWMlc
找到后，表示客户端在向服务器请求战斗，我们不动这个包，转发。 6sa-=\Zr
继续向下查找，这时需要查找的特征码不太好办，我们先查找"DA"，这是客户端发送NPC信息的数据包的指令，那么可能其他包也有"DA"，没关系，我们看前3个字节有没有"F4
44"就行了。找到后，我们的工作就开始了！
我们确定要打的NPC数量。这个数量不能很大，原因在于网金的封包长度用一个字节表示，那么一个包可以有255个字节，我们上面分析过，增加一个NPC要增加10个字节，所以大家算算就知道，打20个NPC比较合适。
然后我们要把客户端原来的NPC代码分析计算出来，因为增加的NPC代码要加上100000哦。再把我们增加的NPC代码计算出来，并且组合成新的封包，注意代表包长度的字节要修改啊，然后转发到服务器，这一步在编写程序的时候要注意算法，不要造成较大延迟。
N&-tX$iLa5
上面我们欺骗服务器端完成了，欺骗客户端就简单了，^-^ k&bw]VCr\
发送了上面的封包后，我们根据新增NPC代码构造封包马上发给客户端，格式就是"F4 44 12 E9 NPC代码 02 00 00 03
00 00 00 Xa&{Kppi
00 00 00",把每个新增的NPC都构造这样一个包，按顺序连在一起发送给客户端，客户端也就被我们骗过了，很简单吧。
以后战斗中其他的事我们就不管了，尽情地开打吧，呵呵。 cuYH\F gq
上面讲的需要一定的编程基础，但是不难，即使你不会编程，相信你继续看下去就会有收获了。 VX4Bnqyv/
四：怎么冒充"客户端"向"服务器"发我们需要的封包？ ^LsUgkPEY&
这里我们需要使用一个工具，它位于客户端和服务器端之间，它的工作就是进行数据包的接收和转发，这个工具我们称为代理。
如果代理的工作单纯就是接收和转发的话，这就毫无意义了，但是请注意：所有的数据包都要通过它来传输，这里的意义就重大了。我们可以分析接收到的数据包，或者直接转发，或者修改后转发，或者压住不转发，甚至伪造我们需要的封包来发送。
HTJ{h;/=B}
下面我们继续讲怎样来同时欺骗服务器和客户端，也就是修改封包和伪造封包。 (h}V^,rq{X
通过我们上节的分析，我们已经知道了打多个NPC的封包格式，那么我们就动手吧！ h_t` {}~
首先我们要查找客户端发送的包，找到战斗的特征，就是请求战斗的第1个包，我们找"F4 44 1F
30"这个特征，这是不会改变的，当然是要解密后来查找哦。 b)wevFYx
找到后，表示客户端在向服务器请求战斗，我们不动这个包，转发。 \Yfv)8QU_
继续向下查找，这时需要查找的特征码不太好办，我们先查找"DA"，这是客户端发送NPC信息的数据包的指令，那么可能其他包也有"DA"，没关系，我们看前3个字节有没有"F4
44"就行了。找到后，我们的工作就开始了！ 3d&&
我们确定要打的NPC数量。这个数量不能很大，原因在于网金的封包长度用一个字节表示，那么一个包可以有255个字节，我们上面分析过，增加一个NPC要增加10个字节，所以大家算算就知道，打20个NPC比较合适。
;^ ~AtEg9@
然后我们要把客户端原来的NPC代码分析计算出来，因为增加的NPC代码要加上100000哦。再把我们增加的NPC代码计算出来，并且组合成新的封包，注意代表包长度的字节要修改啊，然后转发到服务器，这一步在编写程序的时候要注意算法，不要造成较大延迟。
上面我们欺骗服务器端完成了，欺骗客户端就简单了，^-^ /9d6e!ml
发送了上面的封包后，我们根据新增NPC代码构造封包马上发给客户端，格式就是"F4 44 12 E9 NPC代码 02 00 00 03
00 00 00",把每个新增的NPC都构造这样一个包，按顺序连在一起发送给客户端，客户端也就被我们骗过了，很简单吧。
以后战斗中其他的事我们就不管了，尽情地开打吧，呵呵。& Gc9T
上面讲的需要一定的编程基础，但是不难，即使你不会编程，相信你继续看下去就会有收获了。 -}` -t{
五：怎么用计算机语言去写一个单机代理？ T:.u1{Y-
在上一章，我们已经对于代理的原理进行了讲解，大家对于代理已经有了一个初步的认识，现在我教大家如何用计算机语言编写一个自己的代理，我们考虑到简单明了，我们选用VB，因为用VB编写代理只需要很少的代码。
代码如下： H+
Private Sub form_Load() \@$l9nNuDe
DaiLi.LocalPort = "1234" /lq#*Lt?
Server.RemotePort = "1234" $'[AWj!zs
Server.RemoteHost = "211.100.20.26"
DaiLi.Listen ` i(\wayv
End Sub P&{=.~yd
Private Sub DaiLi_ConnectionRequest(ByVal requestID As Long) IASx
Server.Connect T["#!VIE
Client.Accept requestID `&
End Sub lTU18m
Private Sub Client_DataArrival(ByVal bytesTotal As Long) M
Dim ClientToServer() As Byte T4mn{
Client.GetData ClientToServer
Server.SendData ClientToServer S 5pt[U
End Sub }&y_cT1
Private Sub Server_DataArrival(ByVal bytesTotal As Long) STX;
Dim ServerToClient() As Byte =Af[3B
Server.GetData ServerToClient s}Q Kil-
Client.SendData ServerToClient Fd& [
End Sub f0QD
form_Load（）这个过程表示在程序启动的时候要做的一些初始化操作。 2vsU&cq
DaiLi.LocalPort = "1234" 设定***端口& O 5wk0K*
Server.RemotePort = "1234" 设定象游戏服务器连接的端口（和***端口是相同的） !qzLn
Server.RemoteHost = "211.100.20.26" 设定游戏服务器的IP地址 7YZq|cZ
DaiLi.Listen ***本地的连接请求 qUchO+
这时你只要将游戏的服务器列表的IP改成127.0.0.1，那么游戏的客户端程序就会来连接我们的代理，我们的代理会调用如下的过程：
Private Sub DaiLi_ConnectionRequest(ByVal requestID As Long) %YC
Server.Connect 代理客户端向服务器连接 ?: PS=Ay
Client.Accept requestID 接受客户端的连接请求 ipW^jkW
End Sub LDtts
当客户端向服务器发送数据时，就会调用下边的过程 - KS-EE];
Private Sub Client_DataArrival(ByVal bytesTotal As Long)
=#isMI=fX7
Dim ClientToServer() As Byte 变量定义，请求了一个用于存放数据的空间&
Client.GetData ClientToServer 客户端的连接接收这些数据
在这里我们可以添加自己的代码，对封包进行修改，然后再发向服务器。 Kllh0
Server.SendData ClientToServer 服务器的连接把这些数据发向服务器
当服务器发送数据给客户端时，会调用下边的过程 *RY;[W+
Private Sub Server_DataArrival(ByVal bytesTotal As Long)
Dim ServerToClient() As Byte 变量定义，请求了一个用于存放数据的空间
Server.GetData ServerToClient 服务器连接接收数据 m~KK_5
在这里我们可以添加自己的代码，对封包进行修改，然后再发给客户端。
Client.SendData ServerToClient +nvQh2&
End Sub w.y%aGcJ
用其他语言编写基本的原理也是差不多的，不过可能稍微要麻烦一些，因为VB本身有一个MSWINSCK.OCX控件,这个控件封装了WINDOWS的网络操作,而且接口很简单，推荐大家使用。
六：如果单机代理被封，我们怎么利用底层的技术来接管游戏的发包？ Qe
在WINDOWS系统中，网络通讯的任务是由一个叫WSOCK32.DLL(在SYSTEM目录下)来完成的，每当游戏被运行时,他都会自动的去调用这个动态连接库,因为在WINDOWS系统中对于文件的搜索顺序是
程序目录&系统目录&路径中设置的目录,所以我们就有机会替换掉系统的WSOCK32.DLL使的游戏调用我们的WSOCK32.DLL,这样我们就有了对于游戏封包绝对的控制权,有人问:"我们应该怎么做呢?",我们只要自己编写一个WSOCK32.DLL放到游戏的目录下,就OK了，当然让我们完全自己去编写一个WSOCK32.DLL是不太现实的,因为本身网络通讯要处理很多更底层的东西,比如说从网卡读取BIT流，所以我们选择由我们的WSOCK32.DLL去调用系统的WSOCK32.DLL来完成这个功能。
NdKKSZfyvA
WSOCK32.DLL有很多的输出函数,函数如下: 3kETT
__WSAFDIsSet =h$]%*Y&
accept Z*I\d j7
AcceptEx A=b pg
Arecv 6BZ=bvGXz
Asend n,+HXctY
bind (\:"w[q
closesocket A&qsAxFz
closesockinfo )dGQK@tJwR
connect [HgQJA
dn_expand 8bG(5y(_E
EnumProtocolsA& aDds"B6
EnumProtocolsW 0-3S;bP^
GetAcceptExSockaddrs qD\|bx#_
GetAddressByNameA LWomJrh^U
GetAddressByNameW QU]w|70
gethostbyaddr A_CfP*lcvf
gethostbyname 9.m[6q?`cH
gethostname
GetNameByTypeA 'Iyo|:8Q
GetNameByTypeW mX|'VFv ^
getnetbyname 1~7TkyN
getpeername RRcMo/O
getprotobyname gVbd7S
getprotobynumber y|RM9nz
getservbyname )4Oa7Vi8
getservbyport ]C\Aqi7
GetServiceA #Dj82 i+
GetServiceW 5g/t~Chc
getsockname @~2_'*A&.
getsockopt m~*+`xW
GetTypeByNameA hdIA?Gv
GetTypeByNameW =-GM)Iswv
htonl ]{ Q W
htons .' f:PSe5
inet_addr *W2X5n&Q
inet_network +"v-&
inet_ntoa WBRX0oc?
ioctlsocket *YlWz&~y
listen sfTLL a`N
MigrateWinsockConfiguration L%*L1##/'
NPLoadNameSpaces uGT%]{s
NSPStartup rI![/#=R*
ntohl UrdQU]%^
ntohs C}XlAWq6
rcmd X\9kMGj}
recv 0!?pMOA
recvfrom ahnIW S
rexec hPC:IT
rresvport EZ/_&
s_perror fDO)Z+tgsm
select ,:S#[GV
send +aTVE~89)3
sendto `O{) U/oX4
sethostname 9_4s&{
SetServiceA 1QJX
SetServiceW x$CkpX&\4
setsockopt Z+fyh2\0;
shutdown UEK\{!V
TransmitFile v{ol)a
WEP }~`u^SEI+
WSAAsyncGetHostByAddr {t^j&|
WSAAsyncGetHostByName eQF&g za6s
WSAAsyncGetProtoByName QjtrFL"
WSAAsyncGetProtoByNumber g ehZj[w
WSAAsyncGetServByName 7={iuyAN
WSAAsyncGetServByPort '|FB)'q{g
WSAAsyncSelect 3&9eJ/}#o
WSACancelAsyncRequest Vv7-Z&Ki
WSACancelBlockingCall S0C&&2EH
WSACleanup |!I*"AuCH
WSAGetLastError )g_UT [*S
WSAIsBlocking P'tu l2
WSApSetPostRoutine e 5s\.+
WSARecvEx L:E.z.t^
WSASetBlockingHook ? ,V\
WSASetLastError ZhvFa0N18
WSAStartup KFmqrb"
WSAUnhookBlockingHook A$*6Fu4JC
WsControl & !s.V.&r
WSHEnumProtocols ucQorJQS
在这里,不是所有的函数都要修改,因为我们只关心发送和接收的封包,所以我们只要修改send A0s|mD
和recv两个函数，前者是发送封包的后者是接收封包的,我们在这两个函数的处理中加入我们自己的代码，来完成封包的辨认,修改以及转发等功能。
六：如果单机代理被封，我们怎么利用底层的技术来接管游戏的发包？ &muBj}=
在WINDOWS系统中，网络通讯的任务是由一个叫WSOCK32.DLL(在SYSTEM目录下)来完成的，每当游戏被运行时,他都会自动的去调用这个动态连接库,因为在WINDOWS系统中对于文件的搜索顺序是
程序目录&系统目录&路径中设置的目录,所以我们就有机会替换掉系统的WSOCK32.DLL使的游戏调用我们的WSOCK32.DLL,这样我们就有了对于游戏封包绝对的控制权,有人问:"我们应该怎么做呢?",我们只要自己编写一个WSOCK32.DLL放到游戏的目录下,就OK了，当然让我们完全自己去编写一个WSOCK32.DLL是不太现实的,因为本身网络通讯要处理很多更底层的东西,比如说从网卡读取BIT流，所以我们选择由我们的WSOCK32.DLL去调用系统的WSOCK32.DLL来完成这个功能。
WSOCK32.DLL有很多的输出函数,函数如下: EqLxZ_
__WSAFDIsSet j8A*tx+3O=
accept UV ;?v?Z&
AcceptEx \h{~n1h
Arecv VR&dU.
Asend 5D'D(2^
bind U5^)Q'v&
closesocket \{@esuI*
closesockinfo 2MiV\c_
connect 10]HCUh85X
dn_expand EiRUIieN
EnumProtocolsA
EnumProtocolsW FC{OeBr+
GetAcceptExSockaddrs $Q&X/kF_hI
GetAddressByNameA i_ 2E z
GetAddressByNameW CF;jPZ1d
gethostbyaddr FDG;\MZ`1
gethostbyname &te9#}lc%
gethostname MoSj`#0el
GetNameByTypeA Vu'vtHsI&?
GetNameByTypeW VSTcjp]iz
getnetbyname Q|zn
getpeername )zMy7"M
getprotobyname rguI? h#
getprotobynumber -8?LF?
getservbyname Ib~mc_H0
getservbyport ~t"we*x}
GetServiceA kdhy_|a.
GetServiceW mp xZmV|
getsockname kMaW`[ff:-
getsockopt uMx/ s3
GetTypeByNameA \2h||{u
GetTypeByNameW NFh1V#[4;
htons PJ9 8^e
inet_addr OyQ~m[G6['
inet_network hTG=q|^
inet_ntoa v9c&dd+rv
ioctlsocket B?3ecAf
listen fVd!\$^f
MigrateWinsockConfiguration !
NPLoadNameSpaces OtX&2Z5x
NSPStartup o,rTI]n
ntohl !y{-tM'
ntohs )?}@xsYr
rcmd xR!%R{
recv bQb-wp?E6
recvfrom qL{I{T&
rexec ]b-c8@n;c
rresvport 6vI6X=?$=
s_perror .~&/Z5Y
select we ^fkW
send $o/i'R~J
sendto %Xdv2T5[
sethostname `22 Q
SetServiceA Wk4.%t\^d
SetServiceW 6$ 4"]uuu
setsockopt @}&Ml(TH
shutdown &~Zn6dd(
socket ZTb/Hw"{l
TransmitFile @HT_|g` ~
WEP ht(9gd$
WSAAsyncGetHostByAddr uea-%`~
WSAAsyncGetHostByName )`@W& H
WSAAsyncGetProtoByName RrW:Q~3b
WSAAsyncGetProtoByNumber Q&hDNV\[
WSAAsyncGetServByName |-=C
WSAAsyncGetServByPort
WSAAsyncSelect 0 L6OZd_O\
WSACancelAsyncRequest hyqe4:vi
WSACancelBlockingCall de!9x\@H
WSACleanup iZwF Wyh
WSAGetLastError
WSAIsBlocking qZH! *0~
WSApSetPostRoutine .!bhM'#!
WSARecvE &(wlL
WSASetBlockingHook @Sh"(:I
WSASetLastError ^H0zd`.))
WSAStartup EwOq(5S9
WSAUnhookBlockingHook Bwho&oOF
WsControl %}&+.n$v@
WSHEnumProtocols HPv _){LG
在这里,不是所有的函数都要修改,因为我们只关心发送和接收的封包,所以我们只要修改send /,5 c%"c-
和recv两个函数，前者是发送封包的后者是接收封包的,我们在这两个函数的处理中加入我们自己的代码，来完成封包的辨认,修改以及转发等功能。
第二章 一些工具的使用 I z-y
用到的工具包括Fi2.9,Wasm8.9 ,UltraEdit |\=R]Z
一、 Fi2.9 1Z QJiK {x
因为现在软件为了保护，另外也为了减少程序的大小，都采用了加壳技术。有人问了"壳是什么呢"，在自然界中，我想大家对"壳"这东西应该都不会陌生了，植物用它来保护种子，动物用它来保护身体等等。同样，在一些计算机软件里也有一段专门负责保护软件不被非法修改或反编译的程序。它们一般都是先于程序运行，拿到控制权，然后完成它们保护软件的任务。就像动植物的壳一般都是在身体外面一样理所当然。由于这段程序和自然界的壳在功能上有很多相同的地方，基于命名的规则，大家就把这样的程序称为"壳"了。
现在我们已经知道"壳"是用来保护程序的，那我们要分析游戏程序，必须先把他的这层壳退掉，我们称之为"脱壳"，这个很容易的，因为现在网上有很多的脱壳软件可以脱壳，不过在脱壳前我们必须先知道程序用什么加的"壳"，Fi就是这样一个软件，操作很简单，将要分析的软件和Fi放在同一个目录，然后直接运行
Fi，在按回车就OK了 suhBA
二、Wasm8.9 v,EF3Q
这是一个用来反汇编程序的软件（反汇编，就是把机器代码转变为汇编代码）。操作很简单，
首先打开文件，进行反汇编操作，然后选择"串式参考"找到在程序中出现的内容，定位到该地址，进行分析，分析完成，进行修改，加亮当前要修改的指令，然后看"当前指令在文件中的地址偏移"，记下这个值。
三UltraEdit }K|2DG2A
是一个功能强大的编辑软件，能直接修改程序的16进制指令代码。 \-tO
实例解析 rs&&2p
下边以金庸的随地逃为例进行解析。 iJDtZS)+r
首先将金庸的Loginp.exe文件和Fi放在同一个目录，然后运行Fi。 z,qk[x
,UJCkm=T#/
可以看到程序用UPX加过壳了，所以首先进行脱壳（由于该文件用UPX加壳后进行了修改，用现成的工具无法脱壳，鉴于会员当前水平的考虑，这个文件的脱壳方法以后讲给大家听，我们直接提供一个脱过壳的文件给会员用于会员的学习），脱过壳之后，运行Wasm进行反汇编，然后点"串式参考"，找到"次处非逃离点"
程序如下（请打开MagicWin) a*brtXi{c
:1B8EC cmp word ptr [eax+000047EC],
65AD&---此处比较是否为逃离点Ko Nsg%
&---不是就跳走 wr1lb#X-
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:0061636D(C) N4e:@WW]O
| GKl;,zaa
:BC3 mov eax, ebx ]|/u~B3Y+
:D4D1FFFF call 0061355&----一个随机处理判断是否逃跑成功
:C0 test al, al `3)5;_a/pt
:40 je 006163CC &----不成功就跳走 gu PbpB
:C mov [ebx+53], 0006
:E000000 mov eax, 0000001E Bicl8bo
:CC9DEFF call 00402CA8 a A=EnZL[
:0424 mov dword ptr [esp], eax :c%MNM`eh
:0061639F DB0424 fild dword ptr [esp] 0,M&H
: DB2DDC656100 fld tbyte ptr [006165DC] guN'`B
: DEC9 fmulp st(1), st(0) YoD*;$
:006163AA D fadd dword ptr [] o~ @{q
: DB2DDC656100 fld tbyte ptr [006165DC]
&wq(NjBRpH
: DEC1 faddp st(1), st(0) @/c_g=)WK
: DD9BF8D06500 fstp qword ptr [ebx+] ,RY.T^9]
:006163BE 9B wait 3fqB{\?
:006163BF C6435201 mov [ebx+52], 01 zBCA85VsC
: 8BC3 mov eax, ebx d &HM0k
: E call 0061B25C kD|8*M2F@
:006163CA EB3F jmp 0061640B =$^SN"@T#
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:0061638A(C) +s;)HY@C
:006163CC A11CA36700 mov eax, dword ptr [0067A31C]
B&P5=)6-.l
: 8B00 mov eax, dword ptr [eax] T7uOYtM_
: 33C9 xor ecx, ecx $IeZ.zV
* Possible StringData Ref from Data Obj -&"?瞒ア毖"
|& Z9v"%r4
: BA5C666100 mov edx, 0061665C o~On-b~I/e
:006163DA E83D9BF7FF call 0058FF1C e =7F^*7
:006163DF 8A mov al, byte ptr [ebx+] [3 Y
: 04F9 add al, F9 ?Fw(h= '29
: 2C02 sub al, 02 *G1O&
: 7320 jnb 0061640B +XE!`0a
:006163EB 33C9 xor ecx, ecx |^b,7$ y]
:006163ED 33D2 xor edx, edx kgNM^[2
:006163EF B0DE mov al, DE 'i&tm.ly%
: E8C6AE0100 call 006312BC Kw] / |g
: EB13 jmp 0061640B U ~DX.i;S
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:0061637F(C) yN?&NIfLZ
| 2?r ev~eG
: A11CA36700 mov eax, dword ptr [0067A31C] W|lp4
:006163FD 8B00 mov eax, dword ptr [eax] sU.7c7 2
:006163FF 33C9 xor ecx, ecx hdlsB
* Possible StringData Ref from Data Obj -&"
已投稿到：
以上网友发言只代表其个人观点，不代表新浪网的观点或立场。