32位程序调用64位dll_寻找64位程序数据结构

一时失言乱红尘 2023-01-10 09:54 228阅读 0赞

在接触64位程序之前，先简单的来了解一下32寄存器和64的区别：

64位有16个寄存器，32位只有8个。但是32位前8个都有不同的命名，分别是e \_ ，而64位前8个使用了r代替e，也就是r \_。e开头的寄存器命名依然可以直接运用于相应寄存器的低32位。而剩下的寄存器名则是从r8 - r15，其低位分别用d，w,b指定长度。

32位使用栈帧来作为传递的参数的保存位置，而64位使用寄存器，分别用rdi,rsi,rdx,rcx,r8,r9作为第1-6个参数。rax作为返回值

64位没有栈帧的指针，32位用ebp作为栈帧指针，64位取消了这个设定，rbp作为通用寄存器使用

64位支持一些形式的以PC相关的寻址，而32位只有在jmp的时候才会用到这种寻址方式。

其实在有厚实32逆向基础的情况下，64整体上和32区别不大。

以某 64 游戏为例子(主流游戏，避免不必要的麻烦，文中不会出现任何游戏画面的截图)：

无论开发什么游戏，对象坐标都是无法略过的关键，那么以对象坐标为例子。打开CE，注意：64位程序，需要对应的64位CE。扫描类型选择浮点或者双浮点。

![f345fc09ee68c3a5b4f8f844c12fe309.png][]

首先尝试搜索未知的float，在这里，建议以Z坐标为突破口。人物站在高处，搜索增加的数值，人物在低处，搜索减少的数值，重复赛选。(注意：64程序相比32，会大很多，从而赛难度也增加，需要一定耐心)。

在经过重复赛选后，得到了以下地址：

![cd1972b40bcd283c3045eba004e02e71.png][]

同时在Z坐标附近，发现了X坐标和Y坐标，并且修改有效，可实现飞天瞬移等功能。

此时，拿出以上任意地址，去DBG中下断，以Z坐标为例子，如下图所示：

![f83ea8fb5e3d6c593aced0b7f889a95a.png][]

由于是FLOAT  所以DWORD即可，如下图所示：

![530f01e70484f907670b1140decfa66a.png][]

断下后，如下图所示：

![e974e82cadcccbb87fccda303d655a15.png][]

\+190

\+194

\+198

分别为该有效的X  Z   Y坐标偏移，那么此时此刻，要追的就是RCX

此刻公式为  \[RCX+190\]  X坐标。

继续追RCX 如下图：

![144628c1dd0242ce33077fe59071af2d.png][]

RCX来源于 \[rbx+38\],那么此刻，重新下段，观察RBX是否发生变化，如果发生变化(周边有玩家或者NPC的情况下)，那么说明在遍历里，如果不发生变化，那么继续追下去最多也只是得到一个人物基址。

![8acc3a3d4772bbdecf6ec49c30381538.png][]

![24729c17f913a9b9eda5694854499b74.png][]

如上图所示，RBX是会发生变化，并且配出公式后，为周边玩家坐标，那么此时此刻，处于在某个遍历里。继续往上追RBX，此时公式为：\[\[rbx+38\]+190\] X坐标。

![67f58ad7a02ba6fb85650f58044fe708.png][]

![e4c544bff3066203259808eb61827e47.png][]

往上追RCX，发现来源如上图所示，那么在来源函数上下断，观察RSP+70何时被写入。

![9d862be76857f1bb3a11ea916e1844b1.png][]

下断后F7步入，步入了3层CALL之后，得出公式如下：

\[RCX+18+8\]+38\]+190\]   X坐标

继续追RCX  如下图所示：

![dcc0096a08eb84f570305842503882b6.png][]

此时公式如下：

\[\[RCX+90\]+18+8\]+38\]+190\]   X坐标

前面有讲，一路追上来，都是处在一个遍历当中(每次断下，对象不一样)，而在此时，却发现RCX成了固定的值，那么说明，已经跳出了遍历，可能来到了遍历头部，如链表跟节点，二叉树根节点，数组首等。那么在此处下断后，F8走一遍，即可明白它是如何进行遍历，如下图所示：

![05ce6e7fa71562327aa1ee88c525017e.png][]

如果不出意外，继续顺着根节点往上追，十有八九就是基地址。

![21ed12f1d06bba165ca3b06cb385ec8f.png][]

如上图所示，RCX来源于\[rax+F0\]，rax来源于基地址。

那么此时可得出遍历公式如下：

\[\[\[动态加载+3FEC958\]+0xf0\]+90+8\] 对象数量

\[\[\[\[动态加载+3FEC958\]+0xf0\]+90\]\]   进入+0链表

当遍历对象==   \[\[\[\[动态加载+3FEC958\]+0xf0\]+90\]+8\]    跳出遍历

\[\[遍历对象+18+8\]+38\]+190   X坐标

\[\[遍历对象+18+8\]+38\]+194   Y坐标

\[\[遍历对象+18+8\]+38\]+198   Z坐标

\[遍历对象+10\]  对象关联ID (DWROD)

[f345fc09ee68c3a5b4f8f844c12fe309.png]: /images/20221119/0cf6f0b480904e40a9ea92c5c27e5f69.png
[cd1972b40bcd283c3045eba004e02e71.png]: /images/20221119/625ef0c898954320ba84717618b1da60.png
[f83ea8fb5e3d6c593aced0b7f889a95a.png]: /images/20221119/83628e705f6e428ca7025911939f267b.png
[530f01e70484f907670b1140decfa66a.png]: /images/20221119/b4338b4ca9c54991a5604a496d3f86d9.png
[e974e82cadcccbb87fccda303d655a15.png]: /images/20221119/4aaa968a250a4f729fefd2f0923dfa12.png
[144628c1dd0242ce33077fe59071af2d.png]: /images/20221119/03920892dec44cac94f083f752145b8b.png
[8acc3a3d4772bbdecf6ec49c30381538.png]: /images/20221119/b3b0eda732254821b98b17278ebe4fc8.png
[24729c17f913a9b9eda5694854499b74.png]: /images/20221119/37fac3abc2df4e94bc602d2f4068f674.png
[67f58ad7a02ba6fb85650f58044fe708.png]: /images/20221119/30c6fd2da3ad404f8a0f0293d6a3d550.png
[e4c544bff3066203259808eb61827e47.png]: /images/20221119/a4a63d9c45c0472982c40b58761f5b9a.png
[9d862be76857f1bb3a11ea916e1844b1.png]: /images/20221119/32282eed0ea042e1a9d976ad1b9d0806.png
[dcc0096a08eb84f570305842503882b6.png]: /images/20221119/21b1a9cee80a471d8d43e9e795dc7759.png
[05ce6e7fa71562327aa1ee88c525017e.png]: /images/20221119/08e4fd41308f464ba73db5bdad793961.png
[21ed12f1d06bba165ca3b06cb385ec8f.png]: /images/20221119/2544d86864914675a815373cccdd9d51.png