精易论坛

标题: 梦幻西游喊话框字符内容输入call [打印本页]
作者: 戴眼镜的小狼    时间: 昨天 18:55
标题: 梦幻西游喊话框字符内容输入call
分析方法：ce 搜索聊天输入框 里的 字符输入总数，比如 12225  搜索 5 ，然后反复过滤 找出字符数量内存地址

去xdbg里断点 硬件写入 4字节 ，

然后堆栈记录：

如下：
线程 ID 地址               返回到              返回自              大小  注释                               方   
712                                                                                          
      000000C8EB19D278 00007FFDAD89398A 00007FFDAD893B18 30  mhmain.00007FFDAD893B18          用户模块
      000000C8EB19D2A8 00007FFDAD7A850C 00007FFDAD89398A 30  mhmain.00007FFDAD89398A          用户模块   
      000000C8EB19D2D8 00007FFDAD7123D5 00007FFDAD7A850C 60  mhmain.00007FFDAD7A850C          用户模块  -这个
      000000C8EB19D338 00007FFDAE0B3420 00007FFDAD7123D5 80  mhmain.00007FFDAD7123D5          用户模块
      000000C8EB19D3B8 00007FFDAD7121C5 00007FFDAE0B3420 40  mhmain.00007FFDAE0B3420          用户模块
      000000C8EB19D3F8 00007FFDAE0B3420 00007FFDAD7121C5 80  mhmain.00007FFDAD7121C5          用户模块
      000000C8EB19D478 00007FFDAD7121C5 00007FFDAE0B3420 40  mhmain.00007FFDAE0B3420          用户模块
      000000C8EB19D4B8 00007FFDAD719C6C 00007FFDAD7121C5 A10 mhmain.00007FFDAD7121C5          用户模块
      000000C8EB19DEC8 00007FFDAD7B61B4 00007FFDAD719C6C 30  mhmain.00007FFDAD719C6C          用户模块
      000000C8EB19DEF8 00007FFDAD7B6087 00007FFDAD7B61B4 50  mhmain.00007FFDAD7B61B4          用户模块
      000000C8EB19DF48 00007FFDAD7C1409 00007FFDAD7B6087 880 mhmain.00007FFDAD7B6087          用户模块
      000000C8EB19E7C8 00007FFDAD7C0C70 00007FFDAD7C1409 60  mhmain.00007FFDAD7C1409          用户模块
      000000C8EB19E828 00007FFDAD7C0B03 00007FFDAD7C0C70 B10 mhmain.00007FFDAD7C0C70          用户模块
      000000C8EB19F338 00007FFDAD7D83FB 00007FFDAD7C0B03 260 mhmain.00007FFDAD7C0B03          用户模块
      000000C8EB19F598 00007FF7B18B8EEB 00007FFDAD7D83FB 1D0 mhmain.00007FFDAD7D83FB          用户模块
      000000C8EB19F768 00007FF7B18B9AB3 00007FF7B18B8EEB 540 mhmain.00007FF7B18B8EEB          用户模块
      000000C8EB19FCA8 00007FF7B18BB2A6 00007FF7B18B9AB3 40  mhmain.00007FF7B18B9AB3          用户模块
      000000C8EB19FCE8 00007FFE1FA67374 00007FF7B18BB2A6 30  mhmain.00007FF7B18BB2A6          系统模块
      000000C8EB19FD18 00007FFE20EDCC91 00007FFE1FA67374 80  kernel32.00007FFE1FA67374        系统模块
      000000C8EB19FD98 0000000000000000 00007FFE20EDCC91     ntdll.00007FFE20EDCC91           用户模块

找到关键call:
本文章转载来自：bbs.dult.cn
00007FFDAD7A8370      | 48:895C24 10              | mov qword ptr ss:[rsp+10],rbx           |
00007FFDAD7A8375      | 48:897424 18              | mov qword ptr ss:[rsp+18],rsi           |
00007FFDAD7A837A      | 57                        | push rdi                                |
00007FFDAD7A837B      | 48:83EC 20                | sub rsp,20                              |
00007FFDAD7A837F      | 80B9 D8000000 00          | cmp byte ptr ds:[rcx+D8],0              |
00007FFDAD7A8386      | 8BFA                      | mov edi,edx                             |
00007FFDAD7A8388      | 48:8BD9                   | mov rbx,rcx                             |
00007FFDAD7A838B      | 74 07                     | je mhmain.7FFDAD7A8394                  |
00007FFDAD7A838D      | 8BC2                      | mov eax,edx                             |
00007FFDAD7A838F      | E9 97010000               | jmp mhmain.7FFDAD7A852B                 |
00007FFDAD7A8394      | E8 B3ADF6FF               | call mhmain.7FFDAD71314C                |
00007FFDAD7A8399      | 48:391D 28B90C02          | cmp qword ptr ds:[7FFDAF873CC8],rbx     |
00007FFDAD7A83A0      | 8BF0                      | mov esi,eax                             |
00007FFDAD7A83A2      | 0F85 81010000             | jne mhmain.7FFDAD7A8529                 |
00007FFDAD7A83A8      | E8 C7261000               | call mhmain.7FFDAD8AAA74                |
00007FFDAD7A83AD      | 44:8BC8                   | mov r9d,eax                             |
00007FFDAD7A83B0      | 85C0                      | test eax,eax                            |
00007FFDAD7A83B2      | 0F84 71010000             | je mhmain.7FFDAD7A8529                  |
00007FFDAD7A83B8      | 83E7 02                   | and edi,2                               |
00007FFDAD7A83BB      | 85FF                      | test edi,edi                            |
00007FFDAD7A83BD      | 75 0D                     | jne mhmain.7FFDAD7A83CC                 |
00007FFDAD7A83BF      | 40:38BB 02010000          | cmp byte ptr ds:[rbx+102],dil           |
00007FFDAD7A83C6      | 0F84 4D010000             | je mhmain.7FFDAD7A8519                  |
00007FFDAD7A83CC      | 41:83F9 20                | cmp r9d,20                              | 20:' '
00007FFDAD7A83D0      | 0F8D 27010000             | jge mhmain.7FFDAD7A84FD                 |
00007FFDAD7A83D6      | 41:83F9 D2                | cmp r9d,FFFFFFD2                        |
00007FFDAD7A83DA      | 0F84 0F010000             | je mhmain.7FFDAD7A84EF                  |
00007FFDAD7A83E0      | 41:83F9 D9                | cmp r9d,FFFFFFD9                        |
00007FFDAD7A83E4      | 0F84 FB000000             | je mhmain.7FFDAD7A84E5                  |
00007FFDAD7A83EA      | 41:83F9 DB                | cmp r9d,FFFFFFDB                        |
00007FFDAD7A83EE      | 0F84 E7000000             | je mhmain.7FFDAD7A84DB                  |
00007FFDAD7A83F4      | 41:83F9 DC                | cmp r9d,FFFFFFDC                        |
00007FFDAD7A83F8      | 0F84 C1000000             | je mhmain.7FFDAD7A84BF                  |
00007FFDAD7A83FE      | 41:83F9 DD                | cmp r9d,FFFFFFDD                        |
00007FFDAD7A8402      | 0F84 96000000             | je mhmain.7FFDAD7A849E                  |
00007FFDAD7A8408      | 41:83F9 E5                | cmp r9d,FFFFFFE5                        |
00007FFDAD7A840C      | 0F84 85000000             | je mhmain.7FFDAD7A8497                  |
00007FFDAD7A8412      | 41:83F9 F3                | cmp r9d,FFFFFFF3                        |
00007FFDAD7A8416      | 74 2B                     | je mhmain.7FFDAD7A8443                  |
00007FFDAD7A8418      | 41:83F9 F7                | cmp r9d,FFFFFFF7                        |
00007FFDAD7A841C      | 74 1B                     | je mhmain.7FFDAD7A8439                  |
00007FFDAD7A841E      | 41:83F9 F8                | cmp r9d,FFFFFFF8                        |
00007FFDAD7A8422      | 0F85 F1000000             | jne mhmain.7FFDAD7A8519                 |
00007FFDAD7A8428      | 48:8B03                   | mov rax,qword ptr ds:[rbx]              |
00007FFDAD7A842B      | 48:8BCB                   | mov rcx,rbx                             |
00007FFDAD7A842E      | FF90 38020000             | call qword ptr ds:[rax+238]             |
00007FFDAD7A8434      | E9 D3000000               | jmp mhmain.7FFDAD7A850C                 |
00007FFDAD7A8439      | BA 0D080000               | mov edx,80D                             |
00007FFDAD7A843E      | E9 CE000000               | jmp mhmain.7FFDAD7A8511                 |
00007FFDAD7A8443      | 803D 5647EE01 00          | cmp byte ptr ds:[7FFDAF68CBA0],0        | 00007FFDAF68CBA0:L"ā"
00007FFDAD7A844A      | 48:8D4B 38                | lea rcx,qword ptr ds:[rbx+38]           |
00007FFDAD7A844E      | C74424 30 0C080000        | mov dword ptr ss:[rsp+30],80C           |
00007FFDAD7A8456      | 48:8D5424 30              | lea rdx,qword ptr ss:[rsp+30]           |
00007FFDAD7A845B      | 74 30                     | je mhmain.7FFDAD7A848D                  |
00007FFDAD7A845D      | E8 7602FEFF               | call mhmain.7FFDAD7886D8                |
00007FFDAD7A8462      | 8B4424 30                 | mov eax,dword ptr ss:[rsp+30]           |
00007FFDAD7A8466      | 85C0                      | test eax,eax                            |
00007FFDAD7A8468      | 75 05                     | jne mhmain.7FFDAD7A846F                 |
00007FFDAD7A846A      | 41:B0 01                  | mov r8b,1                               |
00007FFDAD7A846D      | EB 0C                     | jmp mhmain.7FFDAD7A847B                 |
00007FFDAD7A846F      | 83F8 01                   | cmp eax,1                               |
00007FFDAD7A8472      | 0F85 A1000000             | jne mhmain.7FFDAD7A8519                 |
00007FFDAD7A8478      | 45:33C0                   | xor r8d,r8d                             |
00007FFDAD7A847B      | BA 08000000               | mov edx,8                               |
00007FFDAD7A8480      | 48:8BCB                   | mov rcx,rbx                             |
00007FFDAD7A8483      | E8 783B9000               | call mhmain.7FFDAE0AC000                |
00007FFDAD7A8488      | E9 8C000000               | jmp mhmain.7FFDAD7A8519                 |
00007FFDAD7A848D      | E8 4602FEFF               | call mhmain.7FFDAD7886D8                |
00007FFDAD7A8492      | E9 82000000               | jmp mhmain.7FFDAD7A8519                 |
00007FFDAD7A8497      | BA 0E080000               | mov edx,80E                             |
00007FFDAD7A849C      | EB 73                     | jmp mhmain.7FFDAD7A8511                 |
00007FFDAD7A849E      | 48:8B93 18010000          | mov rdx,qword ptr ds:[rbx+118]          |
00007FFDAD7A84A5      | 48:8BCB                   | mov rcx,rbx                             |
00007FFDAD7A84A8      | 48:2B93 10010000          | sub rdx,qword ptr ds:[rbx+110]          |
00007FFDAD7A84AF      | 4C:8B03                   | mov r8,qword ptr ds:[rbx]               |
00007FFDAD7A84B2      | 48:C1FA 02                | sar rdx,2                               |
00007FFDAD7A84B6      | 41:FF90 B8010000          | call qword ptr ds:[r8+1B8]              |
00007FFDAD7A84BD      | EB 0E                     | jmp mhmain.7FFDAD7A84CD                 |
00007FFDAD7A84BF      | 33D2                      | xor edx,edx                             |
00007FFDAD7A84C1      | 48:8B03                   | mov rax,qword ptr ds:[rbx]              |
00007FFDAD7A84C4      | 48:8BCB                   | mov rcx,rbx                             |
00007FFDAD7A84C7      | FF90 B8010000             | call qword ptr ds:[rax+1B8]             |
00007FFDAD7A84CD      | 48:8B03                   | mov rax,qword ptr ds:[rbx]              |
00007FFDAD7A84D0      | 48:8BCB                   | mov rcx,rbx                             |
00007FFDAD7A84D3      | FF90 18020000             | call qword ptr ds:[rax+218]             |
00007FFDAD7A84D9      | EB 3E                     | jmp mhmain.7FFDAD7A8519                 |
00007FFDAD7A84DB      | 8B93 E4000000             | mov edx,dword ptr ds:[rbx+E4]           |
00007FFDAD7A84E1      | FFCA                      | dec edx                                 |
00007FFDAD7A84E3      | EB DC                     | jmp mhmain.7FFDAD7A84C1                 |
00007FFDAD7A84E5      | 8B93 E4000000             | mov edx,dword ptr ds:[rbx+E4]           |
00007FFDAD7A84EB      | FFC2                      | inc edx                                 |
00007FFDAD7A84ED      | EB D2                     | jmp mhmain.7FFDAD7A84C1                 |
00007FFDAD7A84EF      | 48:8B03                   | mov rax,qword ptr ds:[rbx]              |
00007FFDAD7A84F2      | 48:8BCB                   | mov rcx,rbx                             |
00007FFDAD7A84F5      | FF90 30020000             | call qword ptr ds:[rax+230]             |
00007FFDAD7A84FB      | EB 0F                     | jmp mhmain.7FFDAD7A850C                 |
00007FFDAD7A84FD      | 48:8B03                   | mov rax,qword ptr ds:[rbx]               | 00007FFDAF067878
00007FFDAD7A8500      | 41:8BD1                   | mov edx,r9d                                    | 输入字符 ASCLL  1=31
00007FFDAD7A8503      | 48:8BCB                   | mov rcx,rbx                                     | 00000262A4032430
00007FFDAD7A8506      | FF90 40020000             | call qword ptr ds:[rax+240]             | 聊天字符输入call
00007FFDAD7A850C      | BA 0F080000               | mov edx,80F                             |
00007FFDAD7A8511      | 48:8BCB                   | mov rcx,rbx                             |
00007FFDAD7A8514      | E8 23000000               | call mhmain.7FFDAD7A853C                |
00007FFDAD7A8519      | E8 56251000               | call mhmain.7FFDAD8AAA74                |
00007FFDAD7A851E      | 44:8BC8                   | mov r9d,eax                             |
00007FFDAD7A8521      | 85C0                      | test eax,eax                            |
00007FFDAD7A8523      | 0F85 92FEFFFF             | jne mhmain.7FFDAD7A83BB                 |
00007FFDAD7A8529      | 8BC6                      | mov eax,esi                             |
00007FFDAD7A852B      | 48:8B5C24 38              | mov rbx,qword ptr ss:[rsp+38]           |
00007FFDAD7A8530      | 48:8B7424 40              | mov rsi,qword ptr ss:[rsp+40]           |
00007FFDAD7A8535      | 48:83C4 20                | add rsp,20                              |
00007FFDAD7A8539      | 5F                        | pop rdi                                 |
00007FFDAD7A853A      | C3                        | ret                                     |

堆栈信息：
1: rcx 00000262A4032430
2: rdx 0000000000000035
3: r8 0000000000000000
4: r9 0000000000000035
5: [rsp+20] 00000000FFFFFFFF

调用测试 11.png
就这么简单，




作者: 彭于晏    时间: 昨天 21:10
感谢分享
作者: rushiruhua    时间: 昨天 21:25
666666666666666666666666666666666666666
作者: Icexzm    时间: 昨天 21:46
前排学习一下
作者: 玉树临风的神印    时间: 昨天 22:09

前排学习一下
作者: 路麟jh    时间: 昨天 23:02
1
作者: fdassd    时间: 昨天 23:06
看一下....
作者: 谷驰先生    时间: 2 小时前
看看                                                         



欢迎光临 精易论坛 (https://bbs.ijingyi.com/) Powered by Discuz! X3.4