【代理DLL汉化研究】利用Hook拦截模型和贴图的方案

shane007

理论上这个方法能拦截任何使用Direct3D的游戏的模型和贴图数据。

3 a% o% F0 [  K* u9 k原文
http://www.palunion.net/bbs/thread-155869-1-1.html

! N& P- a% B/ c* K1 }) ~0 G大概思路是这样的：
1.利用Drect3Dcreate8函数创建一个D3D接口，这个接口返回了一个指向direct3d8函数列表的指针。这个指针需要替换成自己编写的hookD3D接口指针，hookD3D接口指针同样利用Drect3Dcreate8函数创建。
. d& x* R& s3 C6 J
- k8 H: T5 J2 z2.利用Direct3Ddevice8 函数创建一个设备接口，通常Direct3D游戏都使用DrawIndexedPrimitiv绘制3D模型到屏幕，同样要将此接口替换成自己编写的hook3Ddevice8设备接口，以便游戏调用DrawIndexedPrimitiv前可以保存模型数据到文件。
2 _' n/ |5 A* k  `$ @5 h# ~& h
& {8 B, U9 L0 j( ?8 E0 |3.最简单的Hook是利用DLL实现，将自己编写好的d3d8.dll存放到游戏目录下，如果游戏原本是读取c:\windows\system32\d3d8.dll，现在变成读取当前目录下的d3d8.dll。
1 D0 `5 N9 X( {7 b
伪代码如下（这只是方案，没经过任何测试）：
a=“'c:\windows\system32\d3d8.dll'”
' }7 \: X/ R0 `, x' r% D6 Q5 o( @- cb=“Direct3DCreate8”
' K7 v4 [1 L$ X5 ^* j" }* E
D3DCreate8（SDKVersion）
& n- `4 B$ n. M8 g6 O{
" k7 C$ J$ J7 D4 Fc=LoadLibrary（a）
+ i* P7 C, ]5 Td=GetProcAddress（c，b） //d=Direct3DCreate8
3 r5 E; x: t5 W1 P% re=d（SDKVersion） //e=Direct3DCreate8(SDKVersion),e保存了direct3d8函数列表的指针
hookD3D(e,IDirect3D8_CreateDevice,MyCreateDevice,CreateDevice)
}
//*address是direct3d8函数列表的指针，functionNum是要替换的函数在direct3d8函数列表中的序列号，NewFunction是自己编写的新函数，saveOldFunction是保存被替换的函数
hookD3D(*address,functionNum,NewFunction,saveOldFunction)
# o0 v# O; o  ?2 W! ]" h{
7 S: ?0 U5 b: L% c/ Y# U) p7 s8 Tf=functionNum*4 //函数地址每个占4字节，所以乘以4
if （*f！=*NewFunction）//判断是否已经保存了saveOldFunction函数地址
{
g=saveOldFunction//保存saveOldFunction函数地址
VirtualQuery()查询页属性
0 P5 S+ A3 p' e( t5 xVirtualProtect()将NewFunction地址替换成saveOldFunction
}
; h9 o3 m3 R7 z}

3 }4 I1 V  _- k4 T5 `4 d6 tMyCreateDevice（obj,Adapter,DeviceType,hFocusWindow,BehaviorFlags,pPresentationParameters,ppReturnedDeviceInterface）
! Z: l! N4 o  S! L5 b{
/ K- Y  f2 P) O
CreateDevice(obj,Adapter,DeviceType,hFocusWindow,BehaviorFlags,pPresentationParameters,ppReturnedDeviceInterface)//调用原来的CreateDevice函数
h=**ppReturnedDeviceInterface //3d3设备指针接口
+ T/ y+ `: {. ]& Y* K; _. w" _hook3Ddevice8（obj,h，IDirect3DDevice8_DrawIndexedPrimitive，MyDrawIndexedPrimitive，DrawIndexedPrimitive）//hook3Ddevice8的编写可以参考上面的hookD3D
}

obj：索引缓冲区起始地址，Type：图元的类型，MinIndex：最下的索引数组元素值，NumVertices：顶点的数目，StartIndex：开始的索引数组元素值，PrimitiveCount：绘制的基本图元数量
6 o/ O* C9 a$ Q* _# |. w: zMyDrawIndexedPrimitive （obj,Type,MinIndex,NumVertices,StartIndex,PrimitiveCount）
' G% }; i" N, b- X' G. f{
save（obj）//保存模型
; o0 Y' [) I8 y( NDrawIndexedPrimitive（obj,Type,MinIndex,NumVertices,StartIndex,PrimitiveCount）//调用原来的DrawIndexedPrimitive函数
}
7 }6 q; \* r" t& h) ^  |
按照上面的理论，要获取一个静态模型只需
1.替换CreateDevice中的SetTexture和SetMaterial，获取贴图和材质数据，用d3dxsavetexturetofile函数保存贴图数据。
2.替换CreateDevice中的Createindexbuffer，获取顶点索引数据。
! G7 e+ s+ x4 O0 `7 |4 `1 x$ v3.计算3角形的数量，（顶点索引总大小/每个顶点索引大小）/3即可求出。
3.替换CreateDevice中的Createivertexbuffer，获取顶点数据，并且可以获取顶点的组成格式FVF的大小。
/ l3 n) l. l0 A* Q. D  P4.求出顶点的数量，将顶点数据的总大小/每个FVF的大小，即可求出。
5.创建一个D3DXMesh来保存模型数据
- }6 V1 m3 `5 f, k/ o8 g6.将贴图、材质、顶点索引，顶点数据写入d3dxmesh
7.用d3dxsavemeshtox将d3dxmesh数据保存成x文件。

使用这种方法不仅能提取游戏的模型，还可以修改游戏里的贴图和模型显示。我暂时没时间实现上面的理论，精力旺盛的人不妨试一下。
当然使用这种方法要躲过游戏中的Hook检测，不过要躲避游戏中的Hook检测也不难，已经有不少人讨论过，例如NP。
# x2 }( Q2 t& F2 L3 I: G, A这种方法类似GA，但GA的设计是通用的，所以专用性有时不太好，如果能针对每个游戏的特点设计替换函数，那么提取出来的模型应该比GA的质量要好。
8 }9 Q, U# Y/ V$ N+ t" e
9 s+ x. L* r1 \还有一个缺点是虽然使用这个办法提取模型不需要分析自定义的模型文件格式，但很明显要将整个游戏都玩一遍并且没有遗留任何关卡才能保证提取出游戏中全部的模型数据。