吾爱破解 - 52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 27529|回复: 54
收起左侧

[游戏安全] 【外挂分析】SystemCheats外挂分析报告

  [复制链接]
Gslab 发表于 2018-11-16 19:06
1. SystemCheats外挂呈现平台主要针对FPS类游戏,也有其他沙盒和开放世界类等游戏的外挂。



SystemCheats支持的游戏外挂如下图所示。



2. 外挂具有较强的反分析和反检测能力,外挂会监控自己是否被分析,如果被分析则会直接封禁外挂帐号以及当前使用的机器。3. SystemCheats具有较好外挂玩家售后论坛,玩家可以在论坛上咨询外挂使用情况等。4. 本文是以BO4插件功能实习为例进行分析,SystemCheats外挂是游戏内读取角色、装备等数据,具有自动瞄准、角色透视、3D雷达和2D雷达等功能。


分析结论:
1、外挂从后台下载带正规签名的驱动和加密的Shellcode
2、外挂向游戏内注入868KB大小的Shellcode用于读取游戏数据、绘制方框和自瞄等功能;
3、外挂修改CDXGISwapChain的Present和ResizeBuffers两个虚表函数地址,用于获得执行时机绘制方框和游戏武器等信息;
4、外挂修改了游戏的CreateThread、GetCursorPos、SetCursorPos和GetForegroundWindow四个函数IAT地址,当游戏调用CreateThread且栈大小为4096时外挂感知对局开始开启功能,当游戏GetForegroundWindow函数时外挂判断返回地址为某个地址时执行获取角色、装备等数据的逻辑;

外挂功能分析


外挂与后台服务器登录流程如下:
1、 外挂向后台服务器发送机器和帐号密码信息;
2、 服务向外挂客户端下发支持的游戏列表;
3、 外挂客户端选择想要加载的游戏ID;
4、 服务器向外挂下发加密的Shellcode和驱动文件。


可以从外挂服务器下发的配置文件看出,BO4游戏需要注入的进程为BlackOps4.exe,注入延迟为7000.



外挂服务器下发的驱动具有正规签名。



分析过程
1. 外挂Shellcode实体外挂注入到游戏内的Shellcode大小为868KB,如下所示。



2. DXGI模块的虚表修改外挂首先通过特征码搜索到CDXGISwapChain::Present函数地址,然后修改opcode跳转到外挂的Fake_CDXGISwapChain::Present函数里。



在外挂的Fake_CDXGISwapChain::Present函数中外挂修改虚表中CDXGISwapChain::PresentCDXGISwapChain::ResizeBuffers两个函数地址。



外挂修改完虚表之后,恢复CDXGISwapChain::Present函数的opcode防止代码完整性校验。外挂会在调用Fake_CDXGISwapChain::Present游戏时候获取当前本地时间、FPS帧率以及分辨率并绘制到游戏屏幕上。



外挂在游戏调用Fake_CDXGISwapChain::Present函数时将获取到的游戏entity坐标转换成屏幕坐标并绘制到游戏屏幕上



3. 游戏IAT修改外挂会搜寻游戏内CreateThreadGetCursorPosSetCursorPosGetForegroundWindow四个函数的IAT地址并且Hook



外挂会感知游戏创建线程栈大小,当线程栈大小为4096时外挂设置相应标志位。当感知到该线程的创建时,外挂设置0x24653ec0x24653e8两个标志,这个标志表示着游戏进入对局。



当执行GetForegroundWindow函数,返回地址符合某种条件时候会执行方框透视的游戏数据获取逻辑。



4. 外挂获取游戏数据的逻辑分析外挂会调用游戏函数0x13FCE57C00x13FAC1C20函数获取游戏Entity,并判断是是不是游戏内的头盔、枪等道具,并获得坐标并在调用Present函数时候绘制到游戏屏幕上。



如下图所示,外挂读取0x147ba6e54在游戏内对应为helmet
图片16.png




*转载请注明来自游戏安全实验室(GSLAB.QQ.COM)

点评

谢谢你的精准分析  发表于 2019-3-11 11:00

免费评分

参与人数 10吾爱币 +6 热心值 +9 收起 理由
青寒牧 + 1 我很赞同!
as3599622 + 1 热心回复!
Proj2Dating + 1 我很赞同!
婴客 + 1 谢谢@Thanks!
香榭的落叶 + 1 + 1 谢谢@Thanks!
TuziF + 1 + 1 我很赞同!
陌陌哒 + 1 我很赞同!
Titanic + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
Zxx_ + 1 + 1 用心讨论,共获提升!
xufangzhou + 1 + 1 热心回复!

查看全部评分

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

linzi0713 发表于 2018-11-16 20:44
中国外挂泛滥,国外也是。根据目前游戏的检测能力还是有限。要道高一丈,魔高一尺~,道高一尺,魔高一丈~持续循环
约定的童话 发表于 2018-11-16 19:49
妹妹说我不好玩 发表于 2018-11-16 19:35
Badlow 发表于 2018-11-16 19:37
非常厉害的分析,支持一下
hsppc 发表于 2018-11-16 19:37
太强了,虽然看不懂,但是感觉非常专业,真的,非常非常专业。
笑哈哈123 发表于 2018-11-16 20:16
请问反分析怎么做到的?谢谢
Zxx_ 发表于 2018-11-16 20:21
谢谢楼主分享
Mr114 发表于 2018-11-16 20:53
分析的十分详细,但是我并听不懂
ldw471427015 发表于 2018-11-16 21:07
xyz过be检测好流弊啊
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则

返回列表

RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2024-11-1 07:28

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表