内容参考于：易道云信息技术研究院VIP课

上一个内容：测试需求与需求拆解

在开始之前要了解一个小知识，在逆向开始之前要很清楚知道要找的东西是什么，大概长什么样子，只有这样才能看到它第一眼发现它，现在我们要找的是它发送数据的明文函数，如果它要实现这个过程它这个函数是怎样的函数？要提供那些内容？第一明文的数据包肯定要提供，数据包本质上是一块内存，所以它看起来就会是内存的样子，执行过去之后内存里会有数据，数据是明文的，所以里面一定有我们可以辨识的内容，第二光有数据包不行，数据包它就是一块数据，一个指针，这个内存有多次必须要给出来，所以它会有长度，所以要关注两个参数的函数。

不过也有的数据的长度在数据包里，这样的就会只有一个参数。

所以在逆向的时候要关注两个参数的函数，一个参数是指针，一个参数是长度，或者一个参数的函数，参数是指针

首先观察它是用的什么ip，打开x96dbg，在connect、WSAConnect函数上下断点

connect上，下断点

WSAConnect函数上，下断点

然后会发现是通过 connect函数进行与服务器连接的

然后可以在栈里看到ip地址与端口

然后在调用connect函数的位置，调用玩connect函数之后我们就可以获取它的socket，所以记录一下调用connect的位置，0x10617E04

然后再按一次ctrl+f9，再按f8，来到下图位置

然后这个函数它的入参是ip地址与端口，这是一个虚函数，ecx是对象指针，这里记录一下位置0x10617048，这里的ecx的值可能有用也记录一下 0x3696AD00

现在连接的已经知道了，现在看发送的，在send、WSASend函数上下断点

根据函数名跳转的方式，按ctrl+g，然后再弹出的窗口输入函数名，然后点确定就可以了，如下弹框

send函数下断点

WSASend函数下断点

然后它在send函数里断下来的，所以它用的send函数

然后来到调用它的位置

然后下图红框里的代码，esi是一个对象指针，至于为什么不使用ecx而是使用esi，这说明用的不是Visual Studio的编译器编译的代码

然后下图红框位置直接告诉了我们下方是发送失败的处理

然后现在是处在发送的位置，然后网上找就能找到加密的位置了，然后按ctrl+f9再按f8来到上一层

由于现在看不出什么东西，所以再按ctrl+f9，再按f8，来到上一层，然后就来到下图红框位置，可以看出它有两个参数

然后断点看它的参数是什么，参数是一个指针，和一个数字，这个数字太符合长度的样子，然后内容现在看不懂，因为不知道现在是个什么样的数据包

这时需要搞一个我们认识的数据包，比如发送聊天数据，然后就看到了明文，在发送聊天数据时要注意，游戏会有心跳包，发送聊天数据的时候要快点，不要让心跳的数据包触发了断点

然后我们把这个数据更改一下，把2改成了8，然后记录一下这里的位置0x10615B97

然后发送的数据也被改了

然后再刚开始connect哪里有一个指针，但是游戏我退出过，上方的指针变了，所以为了验证猜测重新在connect位置打断点，然后再发送一个数据看看，它俩是不是一个东西

connect：现在是0x368B7C0

send位置：0x368CB7C0，它与connect哪里的ecx一模一样，也就是说它是一个很重要的东西

0x368CB7C0可以通过hook掉 connect哪里的函数也就是hook0x1061704B位置

经过在send函数位置看到的数据包，发现它未加密，数据包中也没有长度，然后数据包最后只拼接了一个EE防止粘包，由此可见这是一个有问题的数据包，现在的客户端应该是一个早期版本，功能不全，但是也不影响我们逆向

下图中备注处理数据的位置是在调用send函数之前，一般加密操作都会这样，但现在的客户端是一个早期版本它并没有加密操作，只把数据拼接到数据然后在最后拼接一个EE，就完了