逆向分析实战2

一.游戏窗口化功能的逆向分析

1. 触发条件：在游戏属性加 -window

2. 调试器附加游戏运行，开始分析
   猜测：游戏实现窗口化必须去判断命令行参数里面有没有**-window**，而获取这个参数信息可以通过两种途径去获取

   (1) WindowApi:GetCommandLineA 
   (2) PEB结构体
   

   实证：在GetCommandLineA 函数处下断点，运行游戏。
   

3. 猜测：通过msdn的查阅得知这个函数的作用是Retrieves the command-line string for the current process和The return value is a pointer to the command-line string for the current process.。下一步应该是切割字符串，然后进行比较，而字符常量放在常量区，我们可以通过字符串查找来定位什么地方使用到了window

4. 逆向分析

    task1：通过Win32API获取[游戏的命令行字符串]到[EAX]
    task2:  分割字符串里面的[exe绝对路径]，[参数]到[栈]再到[寄存器]	
    task3: 通过while和if语句判断命令行是不是调试模式，ebp=1代表不是调试模式
   

   

   继续往后执行，发现我们来到了熟悉的地方，没错！就是我们上次分析屏幕分辨率的地方。
   

   猜测：经过代码的观察，猜测0代表窗口化，1代表全屏模式
   实证：不加-winow重新运行游戏，并在这个地方下断点
   

   继续追踪：
   
   制作补丁，复制到可执行文件：
   

   新的问题：窗口化功能实现了，为什么屏幕分辨率1920×1080补丁失效了

   猜测 ：全屏模式下和窗口模式下的屏幕分辨率处理方式不一样

   逆向分析：基于前面分辨率的分析，在这个基础上再次分析

   
   

实证：通过分析得知局部变量的数据流，我们只需要修改数据的源头就可以了

6. 总结：

   定位到想要分析的地方的突破口：
   (1) WinddowAPI: 这个地方会去调用哪些WindowAPI，
   (2) 字符串查找: 这个地方有用到什么字符串吗