【汉化资料】从花瓣区位看破解CreateFontA区位

shane007

首先，分析游戏的文字显示方式。玩游戏的时候最怕打开游戏看到一片乱码，现在汉化游戏却是最希望打开游戏看到一片乱码，因为一般在非日文环境下能正常显示日文的游戏都使用的字符集限定，为汉化增加了不少的难度……
4 e, {1 y+ g# q; S1 t6 d一起采取Textout方式的年代，日文、繁体中文十个有九个是乱码，于是有了Apploc和NL，后来比尔大叔推出了CreateFontA函数……CreateFontA能够直接定义程序使用和操作系统不同的字符集，于是乱码没有了，而汉化者噩梦开始了，因为汉化后的中文内容在经过日文字符集的编译后变为日语状态下的乱码。
( ]  p6 S; }: @% w以下是比尔大叔的MSDN Library对CreateFontA给出的函数原形
' f1 h4 ]9 d2 A" {1 s
7 q1 r* {' U  g; l! B4 @HFONT CreateFont(
int nHeight, // height of font
" S2 Q& q1 ^, `+ yint nWidth, // average character width
int nEscapement, // angle of escapement
int nOrientation, // base-line orientation angle
- {1 f) a3 b' O9 |% o5 G: ]7 xint fnWeight, // font weight
DWORD fdwItalic, // italic attribute option
DWORD fdwUnderline, // underline attribute option
1 q' m$ u; W" sDWORD fdwStrikeOut, // strikeout attribute option
DWORD fdwCharSet, // character set identifier
DWORD fdwOutputPrecision, // output precision
DWORD fdwClipPrecision, // clipping precision
0 k$ g$ W" |! q# w  yDWORD fdwQuality, // output quality
6 i/ ^- f2 m( L% T7 D, J0 ]! ^DWORD fdwPitchAndFamily, // pitch and family
LPCTSTR lpszFace // typeface name
);
1 K$ p7 y$ [1 d, f
1 w5 G3 V9 h0 h( ^$ E; n+ GHFONT CreateFontIndirect(
CONST LOGFONT* lplf // characteristics
);
) W9 k4 C' m% r$ w0 N% K) v/ l其中 LOGFONT的声明如下：

" f' E& W1 l$ \5 @typedef struct tagLOGFONT {
LONG lfHeight;
LONG lfWidth;
LONG lfEscapement;
LONG lfOrientation;
! t: J' M9 O, m" wLONG lfWeight;
BYTE lfItalic;
BYTE lfUnderline;
BYTE lfStrikeOut;
+ S- R) N9 V7 F! V; `8 hBYTE lfCharSet;
6 U" J& {% P( l2 O5 W8 y  UBYTE lfOutPrecision;
$ _& ~- j2 I* o! o$ @% w7 zBYTE lfClipPrecision;
BYTE lfQuality;
BYTE lfPitchAndFamily;
TCHAR lfFaceName[LF_FACESIZE];
8 F- Z, p2 G1 t9 ]} LOGFONT, *PLOGFONT;
+ K, p( O" p3 v) o3 Q/ b2 z" U==================分割线=================
8 K9 H" q( C8 i3 r5 k2 X& {) k要改变程序支持的字符集，就要改变程序调用上面两个函数时的fdwCharSet或lfCharSet的值
% d2 ?2 a* d* c5 k" ~3 t其中各字符集所对应的值如下：
1 i2 z) F, j& r% t7 b5 ?- F
) E5 U. |3 M3 M% b- h字符集 值（十进制）
ANSI_CHARSET 0
6 X1 p0 O# }5 u# i  `1 V9 G5 |9 KDEFAULT_CHARSET 1
SYMBOL_CHARSET 2
2 j; u; u' Q6 g, @* ^1 f+ oMAC_CHARSET 77
( [# D9 v) \& T6 ESHIFTJI_CHARSET 128
; q; j2 s1 |8 T; k1 A6 vHANGEUL_CHARSET 129
HANGUL_CHARSET 129
JOHAB_CHARSET 130
( q) B. n& b) M  V( d" |GB2312_CHARSET 134
. c: O0 E# J" z9 b3 ECHINESEBIG5_CHARSET 136
# n. @0 g( N, r! ?* i1 H* k: IGREEK_CHARSET 161
, @" [% n% c4 Z. o: CTURKISH_CHARSET 162
VIETNAMESE_CHARSET 163
+ s' w# n8 K5 j3 O+ O) Y- ?9 ~HEBREW_CHARSET 177
ARABIC_CHARSET 178
: H. A" g5 C# r' aBALTIC_CHARSET 186
RUSSIAN_CHARSET 204
THAI_CHARSET 222
7 U5 L  C+ I" k# [! FEASTEUROPE_CHARSET 238
OEM_CHARSET 255
) I5 q4 _5 y; q" _3 d可以看到简体中文是86（Hex），日语是80（Hex），繁体中文是88（Hex）
- x: ~0 x$ [  p( @) o$ n我们要做的就是找到游戏中定义调用字符集的部位，将80改为86，这样就能让程序正确的显示中文。
用pexplorer打开HANABIRA.exe，进入反编汇模式，查找Font字符串，我们发现调用CreateFontA函数的位置是唯一的：
于是在以下代码我们停下来
+ [5 n+ ]# i$ G; J8 u* iL0041E365:
mov edi,[esp+14h]
mov ebx,[esp+28h]
3 ^* G# E  r1 P+ r% p! |) G5 jmov ebp,[esp+24h]
/ P) b6 k- M0 A$ J! @mov eax,[esp+20h]
mov ecx,[esp+1Ch]
& ~# z  ~9 j% U$ Apush edi
* e# t: K  Y! ]: F$ `* i/ Zmov edx,[esp+30h]
4 b# U% e- ]# ipush 00000031h
push 00000002h
- X2 S. ~6 E) ?0 Bpush 00000000h
push 00000000h
* Q, y2 m  U; f$ P5 Gpush 00000080h
push ebx
push ebp
push eax
3 ~7 c  z0 \5 F5 e  O4 s- {) t2 a6 ?mov eax,[esp+3Ch]
push ecx
; U' g* t2 y6 m$ R( b' w5 \push 00000000h
push edx
2 T9 ?6 Z3 ]9 mpush 00000000h
push eax
- W9 x/ Z: ]) N% Kcall [GDI32.dll!CreateFontA]
lea ecx,[esi+28h]
# u+ @; d9 V- T1 L. wmov [esi+00000138h],eax
mov eax,edi
5 F1 [: o$ Z6 L/ ^4 o' Zsub ecx,edi
: x+ h6 \5 B9 T2 b) @6 tlea esp,[esp+00h]
注意这就是调用GDI32.dll中的CreateFontA函数了，我们在这个堆栈中寻找将80这个值传递给CreateFontA的部位。
; c3 N% S( A( I# c# [push 00000080h
就是这里将80值压入传递中
: q3 n' x5 k! j2 \9 k" ?! qPE中标记了这段赋值的Hex数值，用UE打开文件，找到
9 I, x5 l, o. V, N: p$ @/ j! l68800005355
$ ], r% u: f4 O& O8 X4 D+ l; C将其改为
68860005355
3 i5 O! [; g, B$ Z) p保存之。
这样PE中看到这段压入就成了
$ i* R# i8 [- P, Kpush 00000086h
6 ]% R, ?5 o4 D" Z5 s% s9 G8 c初战告破，运行游戏，你会看到日文全变成了乱码，说明程序已经在使用中文的字符集了
: f7 G! j  b/ Q* b5 y1 X修改游戏脚本，加入几个中文看看……
2 L0 f0 y/ Q( D% R8 k  \为什么我添加的中文全部是“□”？
& C/ q9 N# F( G0 u这就是需要解决的第二关卡，字符集边界检查。

) _4 d2 Y/ x/ q; n/ N! t+ s8 b既然已经设定了字符集，为什么还要边界检查呢？这是为了防止当游戏文本中含有某些非法的字符串时产生缓存溢出。于是在字形传递到GDI32.dll描绘字体准备显示在屏幕之前对其进行检查，发现超出了设定的缓存大小就将其拦截下来，于是屏幕上就显示出一个“□”。我们知道，由于日文的字符比中文少得多，所以这个缓存也小的多，换言之就是边界太窄。
边界检查的例子：
  z' p" h2 T9 |+ @) @* V1 lcmp al,80
1 D5 X1 E* a1 ~( S% S# xjbe xxxxxxxx
4 e. V# W6 V* v0 U. Ccmp al,09F
jb xxxxxxxx
/ D* g0 {* B$ a+ D; l( Q$ D7 scmp al,0E0
jb xxxxxxxx
1 V* `/ p  a' f5 jcmp al,0FC
ja xxxxxxxx

( a. C: h8 b1 R4 F% R: H即看字符是否在80-9F（前两位）和e0-fc（后两位）之间
===================================
如何具体查找程序的字符集边界呢？常用的方法是下断，用OllyDbg载入游戏主程序运行，一步一步断下去，在出现一堆“□”的时候停住，然后转到ASM模式查看停在哪里。
L0043BA00:
6 ^8 {7 J9 Z' n9 i7 [& L. ^5 xcmp al,80h
. g$ _1 F. M1 O8 Fjc L0043BA08
cmp al,9Fh
jbe L0043BA10
# ]$ @1 i& U, `L0043BA08:
- i7 w/ p* H) N$ {; N3 J, rcmp al,E0h
! l! w9 D8 L7 d! L" J' k$ {jc L0043BA30
cmp al,FFh
  i2 ^! @' [7 B. V% z9 W0 ?ja L0043BA30
花瓣的上边界为80~FF，而下边界为E0~FF，好，开始动手
这里我们将上边界改为80~FF，而下边界范围足够宽广，就不用改了。
) N7 y* _6 d' e$ L! t; F. k这里为什么使用80~FF而不改为20~FF呢？因为我们需要让游戏文本中原本的日语空格（8140）不显示为乱码，于是8140刚好在边界外，就不会被送去CreateFontA进行显示，就会显示为日语的缺字码，一个空白——而它刚好就是空白，在显示上两者没有任何区别。
如法炮制，打开EU修改之，保存测试，OK，正常显示了
% @/ c( ~5 F# U7 m5 g% _
原文
http://blog.potatoneko.cn/

zhang336970

学习！！
( b4 }- N6 P/ P& D/ \1 {
+ @' t8 r) ^* S8 y- M8 PSyberia2的汉化原理估计和这段代码类似吧。

shane007

引用第1楼zhang336970于2008-12-24 16:59发表的  :
学习！！
/ |8 L5 d: i; r9 P: q7 ^" R/ T0 ~
Syberia2的汉化原理估计和这段代码类似吧。

不错，的确从中受到不少启发。

zhang336970

'' 我尝试制作一个整合版，就是在英文版的基础上加入日文版的exe,dll。结果发现无法进入游戏画面，看来还是要找到完整的日文正式版才行。''
9 B' W* q! e$ H
你没有试下用E版的改代码行不行？把E版的字符集和边界限制都改下，这样做后续问题会少。
总感觉缝缝补补的会出问题。

shane007

引用第3楼zhang336970于2008-12-26 01:07发表的 :
'' 我尝试制作一个整合版，就是在英文版的基础上加入日文版的exe,dll。结果发现无法进入游戏画面，看来还是要找到完整的日文正式版才行。''

你没有试下用E版的改代码行不行？把E版的字符集和边界限制都改下，这样做后续问题会少。
总感觉缝缝补补的会出问题。

" L& @) |6 i5 |, Y& z6 P1 S. y
我也是这样想的。但是难度极大，寻找和修改都非常困难，E版的边界检查没有日文的边界检查那么明显。还要加代码修改双字节的问题。以我现在的功力，短期内估计不会有进展。