Недавно озадачился нахождением адресов ресурсов в Age of Mythology - The Titans (англ. версия 1.10, cracked exe от deviance). Они закодированы XOR'ом

На английском есть инструкция от [sheep] для AoM 1.0, довольно подробная ... Есть её перевод в составе Game Hacking Book.

Пользовался оригинальной инструкцией и её переводом, однако вместо SoftICe использовал OllyDbg. Все шло неплохо почти до самого конца, где после некоторых поисков выходим на такой вот кусок кода:

______________________________________________________________________ __________

005A6CE0 55 PUSH EBP <----- ; оказываемся здесь
005A6CE1 8BEC MOV EBP,ESP
005A6CE3 83EC 08 SUB ESP,8
005A6CE6 8B01 MOV EAX,DWORD PTR DS:[ECX]
005A6CE8 8945 FC MOV DWORD PTR SS:[EBP-4],EAX
005A6CEB 8B4D 08 MOV ECX,DWORD PTR SS:[EBP+8]
005A6CEE 8B55 FC MOV EDX,DWORD PTR SS:[EBP-4]
005A6CF1 8B048D 2C32A200 MOV EAX,DWORD PTR DS:[ECX*4+A2322C] ; переносит ключ раскриптовки в EAX
005A6CF8 33048A XOR EAX,DWORD PTR DS:[EDX+ECX*4] - эта инструкция выполняет раскриптовку. Она берет РЕАЛЬНОЕ ЗАКРИПТОВАННОЕ ЗНАЧЕНИЕ РЕСУРСА, ксорит его ключом раскриптовки. В итоге в EAX оказывается раскриптованное значение

005A6CFB 8945 F8 MOV DWORD PTR SS:[EBP-8],EAX
005A6CFE D945 F8 FLD DWORD PTR SS:[EBP-8]
005A6D01 8BE5 MOV ESP,EBP
005A6D03 5D POP EBP
005A6D04 C2 0400 RETN 4

______________________________________________________________________ __________


И в инструкции, значит, написано, что этот адрес 5A6CF8 содержит, цитирую REAL ENCRYPTED ADDRESS ресурсов игры.

Далее (вот тут то и закавыка) автор, работая в SoftIce, небрежно так говорит, мол, делаем следующим образом:

D ECX*4+EDX [Enter]

и

in the top left hand corner of the DUMP WINDOW you should now see the REAL ENCRYPTED GOLD RESOURCE VALUE...

if you now look into EAX you will see the key that is used to decrypt that RESOURCE VALUE


ВОТ этот момент! Что, куда, как? Применительно к какой строке автор ввел эту команду? как я понимаю, он перенес строку
001B:00585D98 33048A XOR EAX,[ECX*4+EDX]
в окно дампа и там где-то увидел реальное закриптованное значение ресурса

в OllyDbg, я, контекстным меню кликая "Follow to Dump", переношу адрес в окно дампа и ни черта не наблюдаю окромя как значения 33048A (при изменении которого игра виснет).

по ходу действия такая ситуация уже была, там надо было, цитирую, "to dump EBX into our DUMP WINDOW", и адрес со значением появился в OllyDbg автоматически после трейсинга, в узкой полосе окна между главным окном и окном дампа. Сейчас же автор предлагает просто ввести команду "D ECX*4+EDX" и радостно наблюдать результат, чего увы не произошло)

(Я в этом деле просто ничего не соображаю, работаю c дебаггером в первый раз, по шаблону - инструкции, поэтому такие выверты очень расстраивают) Так что же надо сделать с этой строкой, чтобы увидеть реальное криптованное значение?

6c73_12.06.2009_CRACKLAB.rU.tgz - AoM_hack.rar

| Сообщение посчитали полезным: