吾爱破解 - LCG - LSG |安卓破解|病毒分析|www.52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

搜索
查看: 1375|回复: 16
收起左侧

[Android 原创] Il2cpp数据类型解析の暴打ObscuredTypes

  [复制链接]
CIBao 发表于 2021-5-7 11:29

前言

摸鱼了好几个月, 期间是有写过文章的不过咕掉了, 搓文章太累了 前排提醒, 本篇文章干货很多
呜呜呜

4月初我hxd介绍了款手游给我 <坎****>, 说来让我碰碰
我一看! 嗷! ObscuredFloat 啊, 游戏概述(结束), 没意思, 骡的岛用的就是这个, 太弱鸡了不搞
然后我就试着玩了一下, 意外的有点上头, 然后就研究了一下伤害的解析
刚一碰, 我大E了啊, 没有闪, 一套不定长内存把我打麻瓜了
我说你这小伙子不讲武德, 来骗, 来偷袭, 我这单身的几十年的老同志

环境 & 工具

Android 10 aarch64
GDTS国际服: 2.13.1
IDA Pro: 7.2
Dobby: gayhub

康康 DamageInfo 类型

DamageInfo

映入眼帘的就是 _damage 这个 成员变量
不过类型有点点奇怪, 是 Nullable<T> 类型
再看看偏移, 就更奇怪了 convertAttackTo 这个成员变量的大小跟  _damage 似乎不一样

成员变量自身大小 = 下一个成员变量的偏移 - 自身偏移
Nullable<ObscuredFloat>size: 0x34 - 0x18 = 0x1C
Nullable<ElementalType>size: 0xE4 - 0xDC = 0x8

ん, 确实不一样, 开始头大了

细品 Nullable<> 类型

Nullable
好家伙, 就一个 has_value 成员变量是个 bool 类型以外, 其他信息全部木大
至于为何特化出来的类型大小不一, 因为成员变量 value 的类型为特化类型, 主要还是要看具体特化类型的内存占用大小

这时就引出了一个问题, T value 为何不应该以指针存储呢?
或者说, 所有对象都继承于 Il2cppObject 却不以指针方式存储值而导致长度不定?

Struct & Class 区别

老司机可能会发现这几个类型的定义并不是传统的 class 而是 struct, 并且首个成员变量的偏移量并不是以 0x10 开始(32位为 0x8, 其实就是Il2cppObject 内部的两个指针), so, struct 的成员变量, 多半没法直接去调用api获取对应的东西
Il2cppObject

还有一个区别就是, class 的成员变量都是以二级指针形式存储, 指向的是另一块内存, 获取时必须 * 取值一下才能得到目标 Object
struct 是直接占用结构体内部, 偏移即可获得目标 Object

这种特性也解释了为何 struct 的成员变量的长度是不同的
(可能讲的有点绕, 看下面的内存分析就好理解了)

康康 ObscuredFloat 类型

ObscuredFloat
ACTkByte4
也是 struct 的, 成员变量并没有很有用的信息
需要注意的是C#里 byte 类型对应C++内是 char (8字节长度), 并且 ACTkByte4 也是 struct 结构体, so hiddenValueOldByte4 这个成员变量可以看做 int32_t 类型

内存分析 & 猜想验证

怎么Hook我就不贴出来了, 只贴关键代码

#include <cinttypes>

//内存读取
template<typename R>
inline R MemoryRead(void* addr, ulong off)
{
    return *reinterpret_cast<R*>((static_cast<char*>(addr) + off));
}

//xx伤害 函数定义
void (* _xxxDamages)(Il2CppObject*, void*) = nullptr;
void xxxDamages(Il2CppObject* behaviour, void* damageInfo)
{
    for (auto i = 0; i < 0x50; i += sizeof(void*))
        LOGE("0x%x:\t0x%08" PRIX32 " - 0x%08" PRIX32 " - 0x%016" PRIX64, i,
        MemoryRead<int32_t>(damageInfo, i),
        MemoryRead<int32_t>(damageInfo, i + 0x4),
        MemoryRead<int64_t>(damageInfo, i));
    return _xxxDamages(behaviour, damageInfo);
}

随便找个陷阱撞一下
未处理的内存打印

有点丑, 先按照 类型占用大小去划分一下内存对照吧
内存对照图
画这种图真的是要我老命

内存对照说明

0x0 - 0x8

可以看得出并不是指向某处的指针, 所以验证了 struct 类型并没有继承 Il2cppObject 的成员变量

其值是 0x80 , 瞄了一下下面的 0x8-0x10, 确认该数据类型是 8字节 长度
对照一下结构体的定义, 第一个成员变量 DamageType type, 而 0x80(128)DamageType::Trap 对应的上
DamageType

0x8 - 0x10

很显然是一枚指针, 在64位下指针的长度是 8字节
对应于结构体中第二个成员变量 IFieldObject sender

0x10 - 0x18

一枚指针
对应于结构体中第三个成员变量 IFieldObject target

0x18 - 0x34

对应于结构体中第四个成员变量 Nullable<ObscuredFloat> _modifer
由于值为空, 没啥好说明的, 直接跳过

0x34 - 0x50

对应于结构体中第五个成员变量 Nullable<ObscuredFloat> _damage

由于 Nullable<T> 的第一个成员变量是 T value, 所以特化后展开成员变量样子是这样的

struct Nullable<ObscuredFloat>
{
    int currentCryptoKey;
    int hiddenValue;
    ACTkByte4 hiddenValueOldByte4; // 可以当做int32_t
    bool inited;
    float fakeValue;
    bool fakeValueActive;
    bool has_value;
};

C# 中 int 类型占用 4 字节
0x34 - 0x38 对应 int currentCryptoKey
0x38 - 0x3C 对应 int hiddenValue

ACTkByte4 类型可以当做 int32_t , 也是 4 字节
0x3C - 0x40 对应 ACTkByte4 hiddenValueOldByte4

bool 类型应该占用 1 字节, 但是由于结构体需要 字节对齐, 被拓展成了 4 字节
0x40 - 0x44 对应 bool inited

float 类型占用 4 字节
0x44 - 0x48 对应 float fakeValue

0x48 - 0x4C 对应 bool fakeValueActive

最后的四字节则是 bool has_value

使用C++实现Nullable<>

// 可空类型
template<typename T>
struct Nullable
{
    T value;
    bool has_value;

    bool HasValue() const { return has_value; }
    const T& GetValue() const { return value; }
    void SetValue(T& newValue) { value = newValue; }
};

再自行把特化类型的定义抄下来, 就能对Il2cpp中的 Nullable<T> 类型进行操作了
不嫌麻烦的也可以手动展开特化类型的成员变量, 能用就是不够优雅

解密 ObscuredFloat 类型

定位解密函数

通过关键词 Decrypt 就能得到几个关键函数, 再过滤一下 形参返回值 , 传入key的那些就可以无视了
ObscuredFloat

看了一圈最可疑的就这三个函数了

public float GetDecrypted();                             // 0x17868F4
private float InternalDecrypt();                         // 0x1786904
public static float op_Implicit(ObscuredFloat value);    // 0x21605BC

IDA 查看一下
GetDecrypted
InternalDecrypt
op_Implicit

均直接调用另一个内部的解密函数
sub_2161A10

测试解密

直接Hook sub_2161A10 函数并且调用试试看

先进行定义

// struct 定义直接照搬就行了, 类型占用大小需要注意一下
struct ACTkByte4
{
    char b1; // 0x0
    char b2; // 0x1
    char b3; // 0x2
    char b4; // 0x3
};
struct ObscuredFloat
{
    int32_t currentCryptoKey; // 0x0
    int32_t hiddenValue; // 0x4
    ACTkByte4 hiddenValueOldByte4; // 0x8
    bool inited; // 0xC
    float fakeValue; // 0x10
    bool fakeValueActive; // 0x14
};
// 原型定义
float (*_ObscuredFloat_Decrypted)(ObscuredFloat*) = nullptr;
float ObscuredFloat_Decrypted(ObscuredFloat* self)
{
    return _ObscuredFloat_Decrypted(self);
}

hook解密函数, map获取动态库地址的源码太多就不贴上来了

DobbyHook((void*)(Il2cppBaseAddr + 0x2161A10),
          (void*)ObscuredFloat_Decrypted, (void**)&_ObscuredFloat_Decrypted);

调用解密函数

//内存偏移
template<typename R>
inline R MemoryOff(void* addr, ulong off)
{
    return reinterpret_cast<R>((static_cast<char*>(addr) + off));
}

void (* _xxxDamages)(Il2CppObject*, void*) = nullptr;
void xxxDamages(Il2CppObject* behaviour, void* damageInfo)
{
    auto _damage = MemoryOff<Nullable<ObscuredFloat>*>(damageInfo, 0x34);
    if(_damage->HasValue())
    {
        auto value = ObscuredFloat_Decrypted(_damage->GetValue());
        LOGE("_damage: %0.3f", value);
    }
    return _xxxDamages(behaviour, damageInfo);
}

再去找个陷阱撞一下, 正确识别, 收工
游戏截图
logcat
好耶

用优雅一点的方式Hook

解析B指令获取目标地址然后进行hook
至于怎么解析B指令emmm, 看arm手册就行了, 简单概述的话就是去掉 指令标志位
以后有机会再讲一下吧, 这玩意也是个雷, 去年那篇 Android10 aarch64 dlopen Hook 的解析写法就是有点问题的, 虽然还没触发到那颗雷

// 提取B指令的偏移
inline ulong BxxExtract(void* symbol)
{
#if defined(__arm__)
    return static_cast<ulong>((*static_cast<int32_t*>(symbol) << 0x8 >> 0x6));
#elif defined(__arm64__) || defined(__aarch64__)
    return static_cast<ulong>((*static_cast<int32_t*>(symbol) << 0x6 >> 0x4));
#else
#error ABI Error
#endif
}

// 修正B指令转跳
template<typename R>
inline R Amend_Bxx(R symbol, ulong off = 0ul)
{
    symbol = MemoryOff<R>(reinterpret_cast<void*>(symbol), off);
#if defined(__arm__)
    return MemoryOff<R>(reinterpret_cast<void*>(symbol),
                BxxExtract(reinterpret_cast<void*>(symbol)) + 0x8);
#elif defined(__arm64__) || defined(__aarch64__)
    return MemoryOff<R>(reinterpret_cast<void*>(symbol),
                BxxExtract(reinterpret_cast<void*>(symbol)));
#else
#error ABI Error
#endif
}

// 地址可通过 主动式Hook 或 被动式Hook 动态获取
DobbyHook((void*)Amend_Bxx(Il2cppBaseAddr + 0x17868F4, 0x4),
          (void*)ObscuredFloat_Decrypted, (void**)&_ObscuredFloat_Decrypted);

加密 & 修改 & 其他类型

NTM犯法了你知道吗

点到为止! 点到为止!
已经讲了很多了, 再多说会被 的.

搞懂怎么解密后, 加密
其他类型的也是同样的套路
先定义类型, 然后阿吧阿吧阿吧

免费评分

参与人数 9吾爱币 +11 热心值 +9 收起 理由
ogli324 + 1 + 1 感谢大佬讲解~
笙若 + 1 + 1 谢谢@Thanks!
Minesa + 1 + 1 用心讨论,共获提升!
l956299650 + 1 + 1 欢迎分析讨论交流,吾爱破解论坛有你更精彩!
flyboyfeng + 1 + 1 用心讨论,共获提升!
正己 + 3 + 1 用心讨论,共获提升!
XIE小谢 + 1 + 1 芜湖~
芽衣 + 1 + 1 用心讨论,共获提升!
Lingxi + 1 + 1 我很赞同!

查看全部评分

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

fateonlyzero 发表于 2021-5-7 16:40
CIBao 发表于 2021-5-7 16:33
骡德岛好像是v7的吧, mshook可以用啊, 至于闪退, 你看看是不是游戏保护搞的鬼 或者 自己写法有点点问题?

写法肯定没问题 之前这样写都没问题 我也怀疑是有保护的 用雷电模拟器 频繁闪退 不知道真机怎么样 大佬 你试过在模拟器hook没有?
从0开始的小小怪 发表于 2021-5-7 11:51
CIBao 发表于 2021-5-7 11:45
甚至还有个总体的随机数实例, 我选择了比较稳妥的方式去实现

我感觉还算靠谱,测试过几个游戏都没问题。按道理说,这俩常量1000000000,和0x7fffffff靠在一起,直接上gg联合搜索,都不用hook了。
从0开始的小小怪 发表于 2021-5-7 11:39
这种加密可以直接hook他的ThreadSafeRandom.Next,好像是这个函数,把key改0,就可以裸奔了
Lingxi 发表于 2021-5-7 11:41
&#128046;啊,懂了
 楼主| CIBao 发表于 2021-5-7 11:45
从0开始的小小怪 发表于 2021-5-7 11:39
这种加密可以直接hook他的ThreadSafeRandom.Next,好像是这个函数,把key改0,就可以裸奔了

甚至还有个总体的随机数实例, 我选择了比较稳妥的方式去实现
彩曦 发表于 2021-5-7 11:54
阿哲 是大佬
非常楼主感谢分享
殇雪琉璃 发表于 2021-5-7 12:02
阿哲 是大佬
非常楼主感谢分享
XIE小谢 发表于 2021-5-7 12:32
欢迎来公会玩玩,搜索GenshinImpact就行了,搜不到的可以搜Genshin然后加入。
mengfang1 发表于 2021-5-7 13:32
感谢分享!!!
flyboyfeng 发表于 2021-5-7 14:52
感谢分享
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则 警告:本版块禁止灌水或回复与主题无关内容,违者重罚!

快速回复 收藏帖子 返回列表 搜索

RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2021-6-16 22:12

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表