【汉化资料】DASM破解游戏资源入门级简易教程

shane007

众所周知，很多游戏的图片文本影音等资源，都是经过打包、加密或者压缩的，那么为了获取这些资源，只能对算法进行分析，写出相应的破解程序，从而达到资源提取的目的。
6 _) R& l% N5 m) W) R4 q$ U
但目前来说，使用公开的已知算法来加密或压缩的游戏，毕竟是少数，大多游戏厂商都会对已知算法进行一定的修改或者干脆自己发明一种算法，这时想要破解就没那么容易了。还好为了速度上的考量，这样的算法一般都不会很复杂，我们还是可以通过对程序进行dasm来进行分析破解。

4 Y  ~$ n8 F/ S4 k3 `# m" K昨天受朋友之托，让帮忙破解pc版ys2的文本文件"libre.ys2"，花了10来分钟搞定，虽然无论从分析还是算法的角度来说，都属于非常简单的级别，但是对于从未接触过dasm破解的朋友来说，却无疑是一个很好的试刀例子。本文通过描述此次的破解过程，讲述了dasm破解游戏资源的一般思路，希望能达到抛砖引玉的效果。

/ s' ?+ R; N+ u6 `& F
--------------------------------------------------------------------------------
9 L. Z& E* J" v1 y0 @- O% g7 @, v
2 b; a( h# r' l本人比较懒，既然说是简易教程，就一切从简。。。

. Q1 H& {( T' }2 A' u拿到文件首先分析文件头：
( [7 w# ]$ G+ f1 S23 C8 14 00 AE 63 06 00 AC 07 97 3E 02 4F 9C 71
; C, q0 X' o0 X! r7 `# [1 Y: @  ]; R4 T7 a
( X; v8 y  p7 u% N2 a; R" M& I# Y这是文件前16个字节的内容，很明显，前面8个字节，也就是2个dword马上引起了我们的注意。因为这个文件的大小是0x663B6，而0x000663AE = 0x663B6 - 0x8，那么可以推断，0x000663AE就是数据部分的大小，而前8个字节就是文件头。那么还剩一个0x0014C823是什么呢？因为文件里搜不到明文文本，说明不是被加密就是被压缩过，做过破解的可能都会根据两个数值之间的关系，推断0x0014C832就是解压后的数据大小，看起来也是很合理的，我起初也是这么判断的，目前就先放一边吧。
7 e4 y" _& K+ p) l# s5 e$ T, \+ i$ a) b
/ G. G1 R" l+ N% v* C" b" U1 v再让我们看看数据部分，杂乱无章，没有任何已知算法的压缩头，也不像是lz系列的压缩，看来再看下去也是徒劳，只能祭出dasm了。
+ s& @/ x# M0 y/ Q6 F/ F
% a8 b7 r; O# ?  j, p2 x- F7 u由于pc上有众多调试器，所以最好的做法是进行动态跟踪来找出算法，不过前面说了我比较懒，抱着侥幸心里先用ida试了试静态分析，看看能不能有所斩获。关于ida的下载安装使用等本文概不提及，有兴趣的朋友可以自行查阅相关教程。
/ V" N7 [3 F  \! Y4 s$ G3 t$ ~
: y& c. l( n% s& r5 [由于存在数据大小，因此可以判断这个文件是单独使用的，那么首先想到的就是到字符串列表里查找文件名，然后看哪些程序用到了它。

9 Z; K; Z0 x( M打开ida，加载"ys2_win.exe"，在strings里搜索"libre.ys2"，果然找到如下字符串：
_rdata:004B8798 0000000F C DATA\\LIBRE.YS2
  J$ x& Y8 @( C! i6 \5 n
, m+ m) i6 L: h双击来到其地址处：
3 V% u1 x# S. J6 j. n$ o$ a_rdata:004B8798 aDataLibre_ys2 db 'DATA\LIBRE.YS2',0 ; DATA XREF: sub_0_443030+39o

可以看到，很幸运，只有一处进行了引用，下面转到sub_0_443030+39处：
8 T5 q8 I8 z* \7 r0 N
C++代码
7 z: D( |/ n% V/ |; l. f_unknwn:00443065 push 0   
_unknwn:00443067 push 0   
_unknwn:00443069 push offset  DataLibre_ys2 ; "DATA\\LIBRE.YS2"   
# g& N9 u0 m+ a& F+ E_unknwn:0044306E push  80000000h   
_unknwn:00443073 lea ecx, [esp+140h+var_124]   
_unknwn:00443077 mov [esp+140h+var_4], 0   
_unknwn:00443082 call dword ptr [eax+10h]   
_unknwn:00443085 lea ecx, [esp+140h+var_134]   
_unknwn:00443089 call sub_0_44B780   
# c# r3 ^9 i' v5 M_unknwn:0044308E mov esi, eax   
7 X0 Y1 z3 E0 S+ y5 z  U+ n0 J_unknwn:00443090 push esi   
$ F/ C" l4 ?. c: j# S_unknwn:00443091 call ??2@YAPAXI@Z ; operator new(uint)   
_unknwn:00443096 add esp, 4   
_unknwn:00443099 push esi ; nNumberOfBytesToRead   
2 q2 n0 p" Y, j3 P_unknwn:0044309A push eax ; lpBuffer   
" ^8 }* ?' ?! W_unknwn:0044309B lea ecx, [esp+148h+var_134]   
8 P% z+ H- T+ e_unknwn:0044309F mov dword_0_5FA6B4, eax   
9 T4 B$ `# R. E3 G4 k: d, H_unknwn:004430A4 call sub_0_44B6B0   
' X; N8 j$ b* c' @' k_unknwn:004430A9 mov eax, dword_0_5FA6B4   
_unknwn:004430AE mov edx, [eax+4]   
2 H6 u8 d( E3 Q_unknwn:004430B1 mov ecx, [eax]   
* C" \3 f# j, c5 S_unknwn:004430B3 lea esi, [eax+8]   
_unknwn:004430B6 add edx, esi   
_unknwn:004430B8 push edx   
8 a/ o4 u+ f* n7 E_unknwn:004430B9 mov edx, esi   
  f* [: w& Q) z% `8 @4 @! Q_unknwn:004430BB call sub_0_492580   
& F$ U* }3 O* k# ]
对于asm的分析，没有什么捷径可走，只能是耐心+经验+运气。
. |/ {$ d* k9 p# M
' x6 H& p! @" i4 Y% x7 F下面简单分析一下这段程序：
8 u+ e9 @3 |% P. A6 K
第3行，对"DATA\\LIBRE.YS2"这个文件名进行了压栈，作为后面函数的参数之一。

3 ?  `! V% ~5 A! @第7行，"call"调用目的函数目前弄不明白，跳过。

+ s: R: T. i3 V/ F: Z第9行，"call sub_0_44B780"，追到sub_0_44B780里，发现调用了系统API GetFileSize，返回值保存在eax里，所以eax里现在就是文件的大小。
! A# {1 N1 g: S# b
9 I; D- a4 s2 N* c第10-12行，用"new"进行内存分配，分配空间大小就是刚才获得的文件大小，说明这里是分配一个缓冲，用来加载文件。
5 s' o( @  s4 p6 h' r; K) J$ Z
: p. o! P4 [7 M3 C6 f2 r第13-18行，压栈一些数据，为函数"sub_0_44B6B0"传递参数，追到这个函数里，发现调用了系统API ReadFile，说明此处是把文件读取到内存的缓冲区中。此处注意，第15行很明确的说明了此时eax就是缓冲区的指针lpBuffer，如果之后要进行解压或者解密，基本上肯定要从这里取得原始数据，因此必需时刻跟踪这个指针。第17行，eax被传到了一个地址上，可以看成是一个临时变量用来暂存lpBuffer。

第19行，把刚才暂存的缓冲区指针lpBuffer传回eax。
/ P7 S: K+ G6 i, u
1 m1 y* w, b# V第20行，有意思的来了，想起来了么，[eax+4]就是文件第2个dword，也就是数据部分的大小，传到了edx，看来我们接近目的地了。
" b7 R3 R& {  k! a- c
0 {0 ~9 [4 ?+ v! y& h! w第21行，第一个dword传给ecx，之前推测是解压后的大小。
) C7 g- \+ E) R' R* [0 `
8 Q+ m( q3 R7 T& e( k" T第22行，注意这里lea和前面mov的区别，这里是传地址，esi现在实际上是个指针，指向缓冲区中的实际数据部分。
5 G  G, m/ o& A* y. `
/ R3 D+ s: C1 b% h& Q  g. z" T6 v第23-25行，这里的edx=edx+esi，实际上是得到一个指向数据末尾的指针，猜想是用于循环计数的结束标志，并且将这个指针压栈，作为参数传递给后面的函数sub_0_492580。然后再把lpBuffer送edx。一切准备就绪。

3 }6 _% M- ]5 b# Q' z7 o1 T" @现在应该可以判定，sub_0_492580就是用来解压或者解密的函数。不用犹豫，追进去，实在是太熟悉的程序模式了，如下：
1 P: |6 p' I6 `1 k
0 y  [# V' r( Y' ?/ FC++代码
_unknwn:00492580 sub_0_492580 proc near
_unknwn:00492580
0 G" S$ H/ R! y  r/ d_unknwn:00492580
_unknwn:00492580 arg_0 = dword ptr 4
_unknwn:00492580
_unknwn:00492580 test ecx, ecx
_unknwn:00492582 push esi
_unknwn:00492583 mov eax, edx
; o. z7 O% E* ~) Q0 a8 Z! ]- C7 @" q; n_unknwn:00492585 jz short loc_0_4925B3
_unknwn:00492587 mov esi, [esp+4+arg_0]
_unknwn:0049258B cmp eax, esi
6 c" U# {3 r1 b% b_unknwn:0049258D jnb short loc_0_4925B3
_unknwn:0049258F push ebx
3 n1 Z- l1 v1 v7 @_unknwn:00492590
+ }. T+ L. a, x" b" m( B1 B* @_unknwn:00492590 loc_0_492590: ; CODE XREF: sub_0_492580+30j
_unknwn:00492590 mov bl, [eax]
_unknwn:00492592 lea ecx, [ecx+ecx*4]
_unknwn:00492595 lea ecx, [ecx+ecx*4]
# }' h( G5 z& R2 N, e& ^_unknwn:00492598 lea ecx, [ecx+ecx*4]
_unknwn:0049259B lea ecx, [ecx+ecx*4]
_unknwn:0049259E lea ecx, [ecx+ecx*4]
4 k) U1 {( W2 W3 m+ M_unknwn:004925A1 lea ecx, [ecx+ecx*4]
1 X+ j( ^; b4 w4 y! g7 f_unknwn:004925A4 mov edx, ecx
_unknwn:004925A6 shr edx, 10h
. B8 V4 {+ ^2 s4 J4 |_unknwn:004925A9 sub bl, dl
_unknwn:004925AB mov [eax], bl
_unknwn:004925AD inc eax
  C4 m! I% G, l1 z5 l* j_unknwn:004925AE cmp eax, esi
: z4 O! k% o7 E/ j, Q_unknwn:004925B0 jb short loc_0_492590
% [8 r+ |) ?# Q. U1 P_unknwn:004925B2 pop ebx
_unknwn:004925B3
$ g' ~7 a0 O. E+ `7 }_unknwn:004925B3 loc_0_4925B3: ; CODE XREF: sub_0_492580+5j
- f7 a9 t7 @; g_unknwn:004925B3 sub_0_492580+Dj
/ Z  ~9 s8 p* J2 y/ Q' p_unknwn:004925B3 pop esi
_unknwn:004925B4 retn 4
_unknwn:004925B4 sub_0_492580 endp
7 L# L6 b4 f$ k. L6 V7 s% y
这里的"mov bl, [eax] ....... mov [eax], bl"这个程序段实在是太引人注目了，以至于第一眼看到就几乎可以断定这是个解密程序。下面做简要分析：
) C/ B1 i7 W+ P$ I2 F$ K
) k4 h, X% `: X, x2 l/ u% b% J第1-9行，一些合法性判断。第8行很重要，edx送到了eax，根据前面的分析，eax此时就是缓冲区中数据部分的起始地址指针！同时也是作为移动游标使用。

8 Y/ N; b; f3 C; i. S3 n9 U7 s第10行，获得传入函数的参数，即前面提到的数据末尾指针。送esi。

; K* B2 d! r, D# Y* j第11-12行，做了个比较，如果游标大于数据末指针，那么就返回。到这里就很清楚了，eax作为一个游动的指针，指向数据部分的单个字节数据，esi作为一个结束标识，两者结合作为循环结束的判断依据。

1 @3 p* |3 N: v+ E: d: Y  E, _第16-29行，不用说了，明显是解密。第16行取出一个缓冲区中的数据，第29行则是把解密过的数据放回原缓冲区。中间的就是解密过程了。还记得么，在函数调用之前，ecx的值就是文件第一个dword的值，这里终于弄清楚它的作用，就是作为初始密钥！这里17-22行相当于"ecx = ecx * 5 * 5 * 5 * 5 * 5 * 5"(注意这里是lea)，第23-24行是把得到的结果右移16位，并传入edx。第25行的dl，就是edx的低8位，即"dl = edx & 0xFF"，这里用原始的数据来减dl，然后26行把结果写回缓冲区，这样就完成了一个字节的解密工作。第27-29行则是递增游标，然后判断数据是否解密完，做循环。
- Q4 ~  [( V8 Q8 n, Q* a
至此整个解密算法分析结束，如果这样你还写不出解密程序来，我也无话可说了。。。
0 |7 P4 l# O9 _
! @& a" {! J9 X7 ~5 s总结起来，dasm破解游戏资源的关键，就是密切跟踪用于加载文件的缓存区，以及对于该缓冲区内数据的读写操作，如果是取出了数据然后经过一系列处理又放回去的，一般就是解密了；如果只是取出数据，经过一系列处理以后，放到了另一个缓冲区的，很可能就是解压。总之，dasm是一件非常需要耐心的工作，asm代码总是枯燥的，要弄清各个寄存器的值也得花一番功夫，但是破解以后的成就感，也只有你亲自动手并完成以后，才能体会得到了。。。

' {! K* F, C; I0 @4 A% k原贴
http://www.xinyuonline.net/blog/?action=show&id=37