风色幻想xx修改教学(进阶篇)

发1篇比较深入的修改教程，希望对修改有兴趣且小有所成的人更进一步。

涉及到1些初级汇编命令和CE的高级功能。

而且这些问题自己多努力也是很容易弄清楚的。

[ENABLE]

00402ba0:

push ebp

mov ebp,esp

lea eax,[006aaa00]

pop ebp

ret

[DISABLE]

00402ba0:

push ebp

mov ebp,esp

mov eax,xc_beginprocedure::initdata+1e3018

pop ebp

ret

int 3

以上是风色xx数据免加密的代码，[enable]表示开启后做的修改 [disable]表示取消修改后的还原代码。

对比1下，其实区别只有这个代码

lea eax,[006aaa00] ==== mov eax,xc_beginprocedure::initdata+1e3018

原本 xc_beginprocedure::initdata+1e3018 的意思是，将加密表的地址传给eax

注意这里用的是mov ，汇编中mov传送的是变量的值。

修改后变成了lea eax,[006aaa00] ，意思是把006aaa00的地址传给eax

lea传送的不是变量的值，而是变量的地址。

变量的值可以是0，但是1个存在的变量的地址却不能为0

(这就好像，1个房子可以住不同的人，也可以不住任何人。但是这个房子是永远存在的。那个房子的地址也是不变的。这个房子总是可以通过地址找到的。)

==========

[ENABLE]

alloc(getrap,1000)

alloc(point,4)

registersymbol(point)

label(exit)

005305bb:

jmp getrap

exit:

getrap:

mov [point],eax

mov [eax+08],edx

mov esp,ebp

jmp exit

[DISABLE]

dealloc(getrap)

dealloc(point)

unregistersymbol(point)

005305bb:

mov [eax+08],edx

mov esp,ebp

这是监视rap变化函数的代码。

rap的变化是通过1个函数来实现的，这个函数处理所有rap变化。

简单说来就是，rap增加和减少都是经过这个函数的。

在这个函数中拦截1下函数的操作数，就可以知道函数改变了哪个地址。从而知道rap的地址。

知道了rap的地址，根据偏移量的就可以算出其他数据的地址了。非常简单。

alloc(A,B)的意思是，申请1块大小为B的内存A。

这里申请了2个内存，我们分别用来保存拦截代码和拦截到的数值。

registersymbol(A)的意思是，把内存A注册为地址。

这样就可以直接在地址列表中把A作为地址使用。

(这就好像，你可以和熟人说 "张三家""李四家"，人家也知道你说的是那条路的哪家人1样。)

原本005305bb:的代码是这样的

mov [eax+08],edx

mov esp,ebp

修改后变成了这样

005305bb:

jmp getrap

这个意思是，代码转到getrap这里继续执行

getrap就是我们申请到的地方，放着拦截代码。

拦截代码是这样的

mov [point],eax

mov [eax+08],edx

mov esp,ebp

jmp exit

仔细看看，会发现修改后的代码只比原来多了1行，就是mov [point],eax

point是我们申请的专门用来保存eax值的空间。

为什么保存eax呢，因为eax就是rap的地址。

保存之后，转回到原本代码的位置继续运行。

之后，就可以在地址列表中添加1个叫做 point的地址(其实这就是指针了)

这个地址存放的值就是rap的地址。