吾爱破解 - LCG - LSG |安卓破解|病毒分析|www.52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

搜索
查看: 10000|回复: 106

[原创] 原神安装程序关闭名为Launcher.exe问题探讨

  [复制链接]
psycongroo 发表于 2020-9-19 23:07

前言

近日“国产之光”原神游戏PC端开服了,结果过不了多久有网友曝出,该游戏的安装程序会关闭一切名为“Launcher.exe”的程序:

3.jpg

对于这种情况,笔者闻所未闻,身体微微一震,除了震惊之余更多的是感叹其神技。这意义不明的关闭到底是个怎么回事?

2.jpg

为此,正在学习逆向的笔者打算一探究竟,于是就有了本篇文章。

流言验证

当然是先试试网上所说的情况是否属实。先用Visual studio编译一个名为Launcher.exe的项目(功能并不重要),打开后运行原神安装包:

1.png

然后点击安装,此时会提醒你客户端正在运行:

4.png

点击确定,没错,Launcher.exe没了,然后就安装了:

5.png

这安装器的背景图上仅有一人,似乎预示了程序被关闭,杀进一切,颇有孤高王者谁能敌的气概。

准备工作

既然流言验证成功了,接下来我们就要为逆向做准备了。

查壳:

6.png

Nullsoft PiMP Stub是个什么东西,一开始笔者也有这样的疑问,其实坛友早已问过并已有答案:

7.png

我们把安装程序的exe改成zip试试,确实能看到安装后的资源:

8.png

既然不是壳,那我们直接拖进x32dbg运起来即可。

寻找终结程序的函数

从结果推原因,从它能结束别的进程来看可以推测应该是用了 TerminateProcess这个API并下断:(可以在符号列表里找)

9.png

运行后确实断下来了,断在一个叫nsprocess.dll的DLL里:

11.png

先看看这个nsprocess.dll的是什么?经过百度这个似乎是NSIS,也就是之前查壳查出来的Nullsoft PiMP Stub的一个插件DLL:

12.png

似乎不是很重要的信息,我们只明白了目前是在NSIS中的一个插件DLL里。既然如此,看看代码上面的call调用情况,了解个大概:

13.png

很明显,这过程一目了然,些少写过Hook,注入代码的坛友可能会知道,这里其实就是调用NtQuerySystemInformation函数来枚举进程,并使用lstrcmpiW来判断进程名是否为launcher.exe,最后再调用TerminateProcess来终结。

所以笔者个人觉得如果要修复这个问题,可以直接Hook TerminateProcess来修复。

结束名称源头

那么Launcher.exe这个字符串来源在哪里呢?如果我们找到了来源并且进行修改,是不是可以...(捂嘴)

14.png

[ebp+8]看到ebp加法运算就知道这个字符串是从调用者那里传过来的参数之一,那我们就根据栈回溯找找:

17.png

通过函数getTargetName拿到Launcher.exe名字,而函数的参数来源于一个固定的地址值[0040C0E0]+4:

18.png

本以为能够找到安装程序的领空,结果接下去无论是对这个内存区域打内存断点还是栈回溯都没法找到字符串的来源,可能是自己太菜了缘故,希望有万能的坛友们能找出来。

其实如果要改变字符串,可以在调用getTargetName函数之后将其函数结果更改即可。如改成QQ.exe那就会....

其他

在逆向的过程看到了一个奇怪的DLL:nsniuniuskin.dll,经百度一看:

19.png

似乎是一个国产的安装包插件,点进官网:

20.png

可以看到一些安装包的模板,让我们再看一看原神安装程序的安装界面:

21.png

好,有奖竞答,请问原神用了那个模板(滑稽)。

完。

免费评分

参与人数 51吾爱币 +54 热心值 +44 收起 理由
蓝猫吃拉啦 + 1 + 1 用心讨论,共获提升!
空降仓装工程兵 + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
fengoto + 1 热心回复!
轻冬云 + 1 + 1 用心讨论,共获提升!
kakudesu + 1 + 1 我很赞同!
wy194959 + 1 我很赞同!
Tonas + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
永昌 + 1 谢谢@Thanks!
camedeus + 1 + 1 用心讨论,共获提升!
AyangLe + 1 + 1 我很赞同!
wingshine + 1 + 1 用心讨论,共获提升!
exluku + 1 + 1 我很赞同!
歌手万仔 + 1 + 1 我很赞同!
Imaginemagic + 1 + 1 谢谢@Thanks!
七暮~ + 1 + 1 我很赞同!
lyrebirth + 1 + 1 我很赞同!
Hmily + 6 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
又一春 + 1 + 1 我很赞同!
vs15 + 1 + 1 我很赞同!
Hegan1997 + 1 + 1 我很赞同!
peter336620 + 1 实际上都只是吹吹而已,都没有一个真的把模型贴图什么的解出来
lyslxx + 1 + 1 我很赞同!
哥斯拉巨炮 + 1 + 1 我很赞同!
张小凡。 + 1 + 1 热心回复!
彦子墨 + 1 + 1 我很赞同!
LAOFW2 + 1 我很赞同!
jygxgxx + 1 + 1 精彩!
轮子大帅比 + 1 + 1 我很赞同!
ttimasdf + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
vv慢慢 + 1 + 1 谢谢@Thanks!
gen + 1 + 1 我很赞同!
善止于水 + 1 用心讨论,共获提升!
Ivonzhang + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
安洛煊 + 1 感谢您的宝贵建议,我们会努力争取做得更好!
zjun777 + 1 我很赞同!
大愛の向こう + 1 + 1 用心讨论,共获提升!
修罗本灭世 + 1 + 1 谢谢@Thanks!
笙若 + 1 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
李莹莹 + 2 我很赞同!
独行风云 + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
炙焱閻羅 + 1 我很赞同!
__不说 + 1 + 1 我很赞同!
Rodge100 + 1 + 1 热心回复!
霸气侧漏m2 + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
Sakura11611 + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
schedule + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
风绕柳絮轻敲雪 + 4 + 1 我很赞同!
真的小白 + 1 + 1 我很赞同!
寒色丶 + 1 + 1 我很赞同!
ZYQ0406 + 1 我很赞同!
千城忆梦 + 1 + 1 我很赞同!

查看全部评分

本帖被以下淘专辑推荐:

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

asq56747277 发表于 2020-9-20 07:58
moewold_1773 发表于 2020-9-20 00:58
原神原来期待有段时间了,结果米忽悠就做出来这么一个废物。
听说解包出来的时候我还有点震惊,结果群内大 ...

实际上都只是吹吹而已,都没有一个真的把模型贴图什么的解出来
Ldfd 发表于 2020-9-20 09:09
C_kore 发表于 2020-9-24 10:45
说实话 这个游戏很不好玩 说说是开放世界 但是实际上你的体验和那种无聊的网游体验没什么区别, 除了画面精致外一无是处 【玩了3天的个人体验】 不喜勿喷
风绕柳絮轻敲雪 发表于 2020-9-20 08:33
moewold_1773 发表于 2020-9-20 00:58
原神原来期待有段时间了,结果米忽悠就做出来这么一个废物。
听说解包出来的时候我还有点震惊,结果群内大 ...

这句话传的到处都是了 但是包里的模型都还没看到.....
moewold_1773 发表于 2020-9-20 00:58
原神原来期待有段时间了,结果米忽悠就做出来这么一个废物。
听说解包出来的时候我还有点震惊,结果群内大佬说完全没壳,直接解压就好,是直接把我吓尿()
然后12.5G的文件里头是6G的六国语言语音,可以的米忽悠(群内大佬的解包结果)
听不见的告白 发表于 2020-9-19 23:37
楼主是真的优秀啊
小咖喱给给 发表于 2020-9-19 23:41
所以到底是咋回事啊
417788939 发表于 2020-9-19 23:43
原神很早就听说了,骚的不行
yc0205 发表于 2020-9-19 23:51
等手游原神
Mr-Golden-Week 发表于 2020-9-20 00:02
哈哈哈哈
virusunk 发表于 2020-9-20 00:07
楼主牛逼,原神用的我猜是模板二
无所谓我养你啊 发表于 2020-9-20 00:16
能吸金就行了,股东管你这么多
内瑟斯 发表于 2020-9-20 00:31
应该是高阶模板一或二
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则 警告:本版块禁止灌水或回复与主题无关内容,违者重罚!

快速回复 收藏帖子 返回列表 搜索

RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2020-10-24 11:38

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表