【收山之作】用yourdiary为例 学习KRKR2 XP3加密静态分析

   以前我谈过， 第1章 KRKR游戏系统汉化说明

  我觉得问题在于很多商业KRKR系统都是加密过的数据，今天作为收山之文，谈下XP3加密分析和封包算法

  今天我们分析的游戏是《yourdiary》，也是前久汉化组来求破解的游戏。

加密VS解密

不管KRKR还是.net 还是JAVA，以及android，其加密解密方法基本差不多，就是HOOK相应函数或者提供相应接口就OK。

无外乎解密存在两种方法

1、动态HOOK 然后内存DUMP

2、静态分析

举例：

1、动态HOOK xp3dumer

2、静态分析  Crass

JAVA 静态解密可以参考鄙人做的java Class文件解密大师发布和说明

对于大家来说动态HOOK简单实用，因为不需要考虑什么加密算法，直接内存DUMP

对于程序猿来说，显然静态分析，逆向其算法更能提高水平。

所以说本文需要程序设计基础非大众读物。

  我们用Crass解包直接解包，提示CRC错误。

  

青子私服c06a(大)-mono.tlg: crc校验失败(0x90d63725), 应该是0xe1eb5d2b.青子私服c06a(大).tlg: crc校验失败(0x2a395798), 应该是0x9ff1bbbe.青子私服c06a(近)-mono.tlg: crc校验失败(0xab6e8767), 应该是0x70439e0e.青子私服c06a(近).tlg: crc校验失败(0xac8ab284), 应该是0x346e11f5.黒幕.tlg: crc校验失败(0xc41caf48), 应该是0x9014486f.data.xp3: 成功提取1286 / 1286 个资源文件

  怎么回事，CRC错误可能就是1、文件损坏了 2、加密了

  显然游戏可以正常运行，否定1。

  用UE打开XP3，分析下看不出规律，现在只能从代码入手。

  

打开plugin目录有个yourdiary.tpm

这个就是加密DLL

用反汇编器打开看看

发现有两个导出函数

V2Link
V2Unlink

注意：KRKR分早期版本和2.22以后版本，其导出函数不一样，大家要注意.不过大家遇到KRKR都不很老，所以本文基本可以通吃。

这里需要大家有KRKR封包加密插件编写的经验才能跟到关键加密代码段

至于加密插件的使用方法请参照水螅大大的教程，这里不再赘述。

我直接跟进关键加密代码段：
.text:10001000
.text:10001000 ; Segment type: Pure code
.text:10001000 ; Segment permissions: Read/Execute
.text:10001000 _text           segment para public 'CODE' use32
.text:10001000                 assume cs:_text
.text:10001000                 ;org 10001000h
.text:10001000                 assume es:nothing, ss:nothing, ds:_data, fs:nothing, gs:nothing
.text:10001000
.text:10001000 loc_10001000:                           ; DATA XREF: V2Link:loc_10001078o
.text:10001000                 push    esi
.text:10001001                 mov     esi, [esp+8]
.text:10001005                 cmp     dword ptr [esi], 18h
.text:10001008                 jz      short loc_1000102C
.text:1000100A                 mov     eax, dword_1000C2CC
.text:1000100F                 test    eax, eax
.text:10001011                 jnz     short loc_10001025
.text:10001013                 push    offset aVoidTvpthrowex ; "void ::TVPThrowExceptionMessage(const t"...
.text:10001018                 call    sub_100010C0
.text:1000101D                 add     esp, 4
.text:10001020                 mov     dword_1000C2CC, eax
.text:10001025
.text:10001025 loc_10001025:                           ; CODE XREF: .text:10001011j
.text:10001025                 push    offset aIncompatibleTt ; "Incompatible tTVPXP3ExtractionFilterInf"...
.text:1000102A                 call    eax ; dword_1000C2CC
.text:1000102C
.text:1000102C loc_1000102C:                           ; CODE XREF: .text:10001008j
.text:1000102C                 xor     eax, eax
.text:1000102E                 cmp     [esi+10h], eax
.text:10001031                 jbe     short loc_1000104B
.text:10001033
.text:10001033 loc_10001033:                           ; CODE XREF: .text:10001049j
.text:10001033                 mov     ecx, [esi+0Ch]
.text:10001036                 mov     dl, [ecx+eax]
.text:10001039                 xor     dl, [esi+14h]
.text:1000103C                 add     ecx, eax
.text:1000103E                 xor     dl, 0CDh
.text:10001041                 add     eax, 1
.text:10001044                 mov     [ecx], dl
.text:10001046                 cmp     eax, [esi+10h]
.text:10001049                 jb      short loc_10001033
.text:1000104B
.text:1000104B loc_1000104B:                           ; CODE XREF: .text:10001031j
.text:1000104B                 pop     esi
.text:1000104C                 retn    4
.text:1000104C ; ---------------------------------------------------------------------------
.text:1000104F                 align 10h
.text:10001050 ; Exported entry   1. V2Link

要看懂上面汇编对于新手是很难的，因为计算机不懂什么叫类，什么叫对象，什么叫结构体。

所有的这些概念在编译之后都不复存在。

数据解密最难也在于此，比如[esi+0Ch]那是啥玩意，是数组？还是结构体？还是对象？

就像在漆黑的屋子里面抓到一大团毛绒绒的东西，是啥，是兔子还是猫？

好在解密插件是开源的

大家可以打开KRKR源代码\2.26\kirikiri2\src\plugins\win32\xp3filter\xp3dec 目录下的 main.cpp

可以看到

//---------------------------------------------------------------------------void TVP_tTVPXP3ArchiveExtractionFilter_CONVENTIONTVPXP3ArchiveExtractionFilter(tTVPXP3ExtractionFilterInfo *info){// TVPXP3ArchiveExtractionFilter 関数は本体側から呼び出される// コールバック関数です。// 引数を一つ取り、それは tTVPXP3ExtractionFilterInfo 構造体へのポインタ// です。// TVPXP3ArchiveExtractionFilter は、後述の V2Link 関数内で// TVPSetXP3ArchiveExtractionFilter により設定されます。// ここでは単純に、xp3enc.dll のサンプルで作成された XP3 アーカイブを// 復号すべく、データをすべて FileHash の最下位バイトで XOR// することにします。// この関数は複数のスレッドから同時に呼び出される可能性があるので// 注意してください。/*tTVPXP3ExtractionFilterInfo のメンバは以下の通り* SizeOfSelf        : 自分自身の構造体のサイズ* Offset            : "Buffer" メンバが指し示すデータが、*                   : アーカイブに格納されているそのファイルの先頭からの*                   : どのオフセット位置からのものか、を表す* Buffer            : データ本体* BufferSize        : "Buffer" メンバの指し示すデータのサイズ(バイト単位)* FileHash          : ファイルの暗号化解除状態でのファイル内容の32bitハッシュ*/// 一応構造体のサイズをチェックするif(info->SizeOfSelf != sizeof(tTVPXP3ExtractionFilterInfo)){// 構造体のサイズが違う場合はここでエラーにした方がよいTVPThrowExceptionMessage(TJS_W("Incompatible tTVPXP3ExtractionFilterInfo size"));// TVPThrowExceptionMessage は例外メッセージを投げる関数// この関数は戻らない ( もっと呼び出し元をさかのぼった位置で// 例外が補足されるため )}// 復号tjs_uint i;for(i = 0; i < info->BufferSize; i++)((unsigned char *)info->Buffer)[i] ^= info->FileHash;}//------------

我们可以看到上面的汇编就是上面这个官方实例的修改版，

但要知道[esi+0Ch]是啥，还得研究官方源代码，所有KRKR解密依赖于tTVPXP3ExtractionFilterInfo这个结构，显然解密代码就是结构体操作。

下面请大家复习下C语言知识：

类型标识符类型说明长度
   （字节）范围备注char字符型1-128 ~ 127-2⁷ ~ (2⁷ -1)unsigned char无符字符型10 ~ 2550 ~ (2⁸ -1)short int短整型2-32768 ~ 327672^-15 ~ (2¹⁵ - 1)unsigned short int无符短整型20 ~ 655350 ~ (2¹⁶ - 1)int整型4-2147483648 ~ 2147483647-2³¹ ~ (2³¹ - 1)unsigned int无符整型40 ~ 42949672950 ~ (2³²-1)float实型（单精度）41.18*10^-38 ~ 3.40*10³⁸7位有效位double实型（双精度）82.23*10^-308 ~ 1.79*10³⁰⁸15位有效位long double实型（长双精度）103.37*10^-4932 ~ 1.18*10⁴⁹³²19位有效位

上面这张表是一般VC 32位程序类型的资料。大家特别注意下长度，你看int 占用4字节，不过不同编译器和平台不一样，数据类型的字节数应该是由CPU决定的，但是实际上主要由编译器决定。

显然一个类似下面这样结构体：

struct Student{    int name;    int sex;    int age;    int addr;};/*然后定义一个Student 类型的 student变量*/struct Student student;

student这样的结构体占用4×4=16字节
内存分布一般为：


0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 
name   sex      age           addr

下面我们看看tTVPXP3ExtractionFilterInfo结构如下：大小和内存位置我已经标注给大家（KRKR源代码\2.26\kirikiri2\src\plugins\win32\tp_stub.cpp文件中）

struct tTVPXP3ExtractionFilterInfo{const tjs_uint SizeOfSelf; // structure size of tTVPXP3ExtractionFilterInfo itself 4个字节 0-3const tjs_uint64 Offset; // offset of the buffer data in uncompressed stream position 8个字节 4-11void * Buffer; // target data buffer 4个字节 12-15const tjs_uint BufferSize; // buffer size in bytes pointed by "Buffer" 16-19const tjs_uint32 FileHash; // hash value of the file (since inteface v2)tTVPXP3ExtractionFilterInfo(tjs_uint64 offset, void *buffer,tjs_uint buffersize, tjs_uint32 filehash) :Offset(offset), Buffer(buffer), BufferSize(buffersize),FileHash(filehash),SizeOfSelf(sizeof(tTVPXP3ExtractionFilterInfo)) {;}};

有了这些东西，我们去搞汇编就易如反掌了

上面加密算法伪代码应该这样：

取出[esi+0Ch]里的数据，即Buffer[i]

异或xor  [esi+14h] 即 FileHash

异或xor 0CDh

好了解密算法这样写就OK了：

//---------------------------------------------------------------------------void TVP_tTVPXP3ArchiveExtractionFilter_CONVENTIONTVPXP3ArchiveExtractionFilter(tTVPXP3ExtractionFilterInfo *info){// TVPXP3ArchiveExtractionFilter 函数是会从吉里吉里本体调用的回调函数。// 能得到的参数只有一个，就是对 tTVPXP3ExtractionFilterInfo 结构体的指针。// TVPXP3ArchiveExtractionFilter 需要在后述的 V2Link 函数内使用// 吉里吉里本体的 TVPSetXP3ArchiveExtractionFilter 函数设定。// 这个样例只是纯粹的对 xp3enc.dll 样例代码加密的 XP3 文件包解密// 将所有的数据以 FileHash 的最后一个字节作异或（XOR）运算// 请注意，这个函数有可能在多个线程中被调用。/*tTVPXP3ExtractionFilterInfo 的成员如下* SizeOfSelf        : 结构体自身的大小* Offset            : "Buffer" 成员所指向的数据偏离这个文件头部的偏移值* Buffer            : 数据本体* BufferSize        : "Buffer" 成员所指向的数据的大小（字节单位）* FileHash          : 解密后文件内容的32位 Hash （散列）值*/// 检查结构体的大小if(info->SizeOfSelf != sizeof(tTVPXP3ExtractionFilterInfo)){// 当结构体的大小错误，则最好投出异常TVPThrowExceptionMessage(TJS_W("Incompatible tTVPXP3ExtractionFilterInfo size"));// TVPThrowExceptionMessage 是用于投出异常的函数// 本函数不会返回。}// yourdiary 解密代码 by大师♂罗庄//ext:10001033 loc_10001033:                           ; CODE XREF: .text:10001049j//.text:10001033                 mov     ecx, [esi+0Ch] //Buffer[i]//.text:10001036                 mov     dl, [ecx+eax]//Buffer[i]//.text:10001039                 xor     dl, [esi+14h] //FileHash//.text:1000103C                 add     ecx, eax//.text:1000103E                 xor     dl, 0CDh//.text:10001041                 add     eax, 1//.text:10001044                 mov     [ecx], dl//.text:10001046                 cmp     eax, [esi+10h]//循环比较BufferSize//.text:10001049                 jb      short loc_10001033//.text:1000104B//.text:1000104B loc_1000104B:                           ; CODE XREF: .text:10001031j//.text:1000104B                 pop     esi//.text:1000104C                 retn    4//.text:1000104C ; ---------------------------------------------------------------------------//.text:1000104F                 align 10htjs_uint i;for(i = 0; i < info->BufferSize; i++){unsigned char  v4 =((unsigned char *)info->Buffer)[i] ;unsigned char  v5 =info->FileHash^ (v4);unsigned char result ;result = v5 ^ 0xCD;((unsigned char *)info->Buffer)[i]  =result;}}//---------------------------------------------------------------------------

编译生成*.dll 然后改成*.tmp

可以覆盖游戏*.tmp试试，但最好别这样，最好用Crass 带tmp参数进行测试，发现没有错误能解包。

好了课程就这样，下课。