C++博客-feixuwu-随笔分类-逆向工程http://www.cppblog.com/feixuwu/category/14247.htmlzh-cnSat, 17 Jul 2010 07:46:39 GMTSat, 17 Jul 2010 07:46:39 GMT60剑3资源格式分析(仅用于学习和技术研究)（二）http://www.cppblog.com/feixuwu/archive/2010/07/16/120581.htmlfeixuwufeixuwuFri, 16 Jul 2010 12:47:00 GMThttp://www.cppblog.com/feixuwu/archive/2010/07/16/120581.htmlhttp://www.cppblog.com/feixuwu/comments/120581.htmlhttp://www.cppblog.com/feixuwu/archive/2010/07/16/120581.html#Feedback7http://www.cppblog.com/feixuwu/comments/commentRss/120581.htmlhttp://www.cppblog.com/feixuwu/services/trackbacks/120581.html本文仅用于学习研究，不提供解压工具和实际代码。
由于时间仓促，剑3资源格式分析(仅用于学习和技术研究)（一） 大部分只是贴出了分析的结果，并没有详细的分析过程，比如：如何知道那是一个pak文件处理对象，
如何根据虚表偏移获取实际函数地址等等，这就需要读者对c++对象在内存中的layout有一定基础。
开始正文了～～，先整理下前面的分析结果：
1、剑3是通过package.ini 来管理pak文件的，最多可配置key从 0-32（0x20）的32个文件。
2、每个pak文件都用一个独立对象来管理，所有的pak对象指针存储在一个数组里（这个后面会用到）。
3、pak文件格式：[pak标记(Uint32)] + [文件数目(Uint32)]+[索引数据偏移(Uint32)]+未知内容。另外，每个文件的索引数据是16个字节。

一、路径名哈希

  剑3的pak的内部文件是通过hash值来查找的，这样有利于加快查询速度。这就需要有一个函数通过传入 路径名返回hash值。
这个函数居然是导出的。。。g_FileNameHash  这个函数代码比较少，可以逆向出来用C重写，也可以直接使用引擎函数(LoadLibrary，GetProceAddress来使用)。
熟悉剑侠系列的朋友会发现，这个函数从新剑侠情缘（可能历史更久）开始就没有变过（确实没必要变），具体细节就不逐个分析了，我是写了一个单独的命令行工具
来测试的。

二、查询过程

查询函数在sub_10010E00 里，也就是(0x10010E00)的位置，我是通过简单分析g_IsFileExist 得知这个函数功能的。下面
来分析这个函数过程：

从前文可知，pak文件对象是存储在一个数组的这个数组是类似 KPakFile* m_szPakFile[0x21];
前面0x20个存储的都是KPakFile对象指针，最后一个存储的是数组长度。
这个搜索结构比较简单，就是遍历所有的KPakFile对象，逐个查询，找到了就返回。想知道具体怎么查询的吗，
接下来要看sub_100108B0了。

这个函数稍微有点长，分几个部分来分析吧：

首先，验证下Hash值是否是0，如果是0，肯定是错了：）
然后接着开始根据这个hash值进行查找了，经过分析，我发现这个函数其实是一个二分查找，代码贴出来如下 sub_10010320 ：



从上面的代码还是比较容易可以知道，每个文件的16个索引数据中，前4个字节是hash值，这个函数返回的是这个文件是pak包的第几个。

接着前面的sub_100108B0 来看吧

这一段是保存查询到的数据到对象里。分析到这里，我只知道16个索引数据前4个字节是hash值，那么剩下的12个字节呢，
剩下的数据基本可以确定是：文件偏移、文件长度。我是个懒人，接下来的分析我是通过在fseek、fread下断点来得到的，为什么不是在SetFilePointer和ReadFile呢，
这是根据前面的分析得到的，因为pak文件管理对象使用的是C标准库函数。
根据fread和fseek的结果，可以得到如下结果：
索引数据构成是:
[哈希数值(Uint32)] + [文件偏移(Uint32)]+[未知数据(Uint32)] + 2(文件长度)+2（未知数据）。
剩下的，就是看看单独内部文件的解压方式了，
在fread的缓冲区上设置内存断点，就可以找到解压函数了：
sub_10018020
这个函数不算太长，一开始我也想逆向成C语言，后来看到如此多的分支就放弃了，转而用了一个偷懒的办法解决了：
从汇编代码可知这个函数的原型：
typedef int (*PUNPACK_FUN)(void* psrcData, int nSrcLen, void* pDstData, int* pDstLen);
直接加载剑3的dll，设置函数地址：
PUNPACK_FUN pEngineUnpack = (PUNPACK_FUN)((unsigned int)hEngineModule + 0x18020);
hEngineModule 是引擎dll的基址，大家看到了吧，dll的函数即使不导出，我们也是可以调用的：）

三、尾声

到这里，已经可以写出一个pak文件的解压包了，但是，我们还是没有还原真实的文件名，
下面是我解压的script.pak的文件的部分内容：

 终于看到大侠们的签名了。当然，对着一堆hash值为名字的文件，阅读起来确实很困难，
那么有办法还原真实的文件名吗，办法还是有一些的，可以通过各种办法改写g_OpenFileInPak记录参数名，来获取游戏中用到的pak内部文件名，相信这难不倒各位了。



feixuwu 2010-07-16 20:47 发表评论
]]>剑3资源格式分析(仅用于学习和技术研究)（一）http://www.cppblog.com/feixuwu/archive/2010/07/15/120478.htmlfeixuwufeixuwuThu, 15 Jul 2010 13:07:00 GMThttp://www.cppblog.com/feixuwu/archive/2010/07/15/120478.htmlhttp://www.cppblog.com/feixuwu/comments/120478.htmlhttp://www.cppblog.com/feixuwu/archive/2010/07/15/120478.html#Feedback6http://www.cppblog.com/feixuwu/comments/commentRss/120478.htmlhttp://www.cppblog.com/feixuwu/services/trackbacks/120478.html不过总体来说还是处于菜鸟阶段，这篇文章希望和其他有兴趣的兄弟分享下这几天的经历，仅仅作为技术研究。


一、安全保护

  一般来说，很少有游戏的资源格式可以直接通过分析资源文件本身得到答案，大部分难免要静态逆向、动态调试。
无论是静态逆向还是动态调试，首先需要知道当前exe和dll的保护情况，用peid查看，发现只有gameupdater.exe 用upx加壳了。不太明白金山为什么对客户端没有加壳。
其实我并不关心gameupdater.exe 是否加壳，毕竟要动态分析的目标是JX3Client.exe ，要动态调试JX3Client.exe，首先要解决启动参数问题。

二、启动参数

  如果直接启动JX3Client.exe，JX3Client.exe会直接退出，并启动gameuodater.exe，然后通过gameupdater.exe启动JX3Client.exe。
这种启动方式会影响动态调试，所以首先我需要找出JX3Client.exe的启动参数。打开IDA逆向，转到启动处，汇编代码如下：
start proc near
call    ___security_init_cookie
jmp     ___tmainCRTStartup
start endp
这是一个典型的VC程序入口，在___tmainCRTStartup 里，crt会初始化全局变量、静态变量，然后进入main,我们需要做的是直接找到main,
跟进去，会发现IDA已经帮我们找到WinMain了，直接跟进去，
关键代码在WinMain的入口处：

从这个代码片段可以知道，WinMain开始就比较了命令行参数是否是"DOTNOTSTARTGAMEBYJX3CLIENT.EXE ",如果不是，
则转到启动更新程序了。这个好办，我们写一个run.bat，内容只有一行：
JX3Client.exe DOTNOTSTARTGAMEBYJX3CLIENT.EXE
运行，果然，直接看到加载界面了。

三、PAK文件管理

  在剑3里，PAK目录下有很多PAK文件，剑3是通过package.ini 来加载和管理pak内部文件的。
这个文件内容如下：
[SO3Client]
10=data_5.pak
1=ui.pak
0=update_1.pak
3=maps.pak
2=settings.pak
5=scripts.pak
4=represent.pak
7=data_2.pak
6=data_1.pak
9=data_4.pak
Path=.\pak
8=data_3.pak
基本上PAK目录下所有的PAK文件都列出来了，其实剑3的资源文件打包方式基本上和新剑侠情缘类似（细节还是有比较大的差别）。
打开ollyDbg，带参数启动JX3Client.exe，在CreateFile设置断点，可以发现，package.ini 的读取和处理是在
Engine_Lua5.dll 的g_LoadPackageFiles 函数，熟悉新剑侠情缘资源管理方式的同学大概会猜到这个函数是做什么的，先看看函数内容吧，这个函数比较长
只能逐步的分析了，首先是打开ini文件

使用g_OpenIniFile打开前面提到的ini文件，如果打开失败，自然直接返回了。
打开成功后，循环读取ini配置的文件，读取的section是SO3Client 读取的key是0到0x20。

loc_1001119A:           ; int
push    0Ah
lea     ecx, [esp+1A0h+var_178]
push    ecx             ; char *
push    ebx             ; int
call    ds:_itoa        ; 这是根据数字生成key的代码
mov     edx, [ebp+0]
mov     edx, [edx+24h]
add     esp, 0Ch
push    40h
lea     eax, [esp+1A0h+var_168]
push    eax
mov     eax, [esp+1A4h+var_184]
push    offset unk_10035B8C
lea     ecx, [esp+1A8h+var_178]
push    ecx
push    eax
mov     ecx, ebp
call    edx             ; 读取INI内容　readString(section, key)
test    eax, eax
jz      loc_1001127A

这段是通过readString("SO3Client", key)来获取pak文件名, key就是"0"~"32"的字符串，也就是最多能配置32个Pak文件。
获得了pak文件名后，下面就是打开和保存pak文件的索引数据了。

后面的注释是我分析的时候加上的，IDA这个功能不错！
首先new一个0x20字节的空间用来存储pak对象（我自己命名的类），接着调用构造函数，创建pak对象。
创建对象后，要用这个Pak对象打开对应的pak文件了，这是我们下面的代码：

首先通过
mov     [edi+edx*4], eax
将对象保存，然后，调用这个类的成员函数打开pak文件，具体代码在sub_10010ca0。

这段代码的意思很明白了，打开文件，读取0x20的文件头，


这里做的是验证文件格式，和一些必要的验证。

这段是读取pak内部文件数目，读取索引数据，以备后面查询使用。
到此为止，所有pak文件的管理对象都已经加载和设置完毕了。
以上内容看起来很顺理成章，但是实际上凝聚了无数的失败和重试。
后面是pak内部文件的查找和读取了。
剩下的内容明天贴了～～～




feixuwu 2010-07-15 21:07 发表评论
]]>