【放置江湖】弱联网手游，网络协议分析修改教程。

每天签到可获得35元宝，开启方法，WLAN ->已连接的wifi (>)小图标 -> 代{过}{滤}理 ->代{过}{滤}理自动配置

PAC网址填入 http://139.199.171.191/proxy.pac

![image]()

1. 准备

使用代{过}{滤}理抓包软件（Fiddler 4）代{过}{滤}理手机网络，进入游戏，点击[上传存档]发现：

游戏采用http网络协议。req 和 resp 内容都被加密了。修改或者伪造http请求数据，就要对请求内容和返回内容进行解密。如果可能，我们可以修改这个请求包，以达到修改游戏的目的。

2. 开始

用解压软件打开 apk 安装包确定游戏框架，游戏使用cocos2dlua框架。


我们随便打开一个lua脚本文件，发现游戏脚本已经被加密了。

接下来的工作我们就需要对lua脚本文件进行解密，lua手游脚本解密的方法有很多，网上也有非常多的教程。我在之前也发过一篇，关于本游戏的的解密教程，大家可以做参考。

解密lua脚本后，让游裸奔。我们通过对http协议头的一些参数进行搜索，定位到 HttpManager.lua 文件。
设置协议头，实现代码。和我们抓包的结果一致。

local localTime = 0

-- 初始化时间戳
--[[
1 同一帧内不能出现两次相同的时间戳
2 使用最新的时间戳
]]
function HttpManager:setWebTime(time)
    if PRINT_MODE == 1 then
        print("time = "..time)
    end
    localTime = time
end

function HttpManager:updateWebTime()
    localTime = localTime + 0.0001
end

-- @author XiaoZhiWei
-- @time 2016/11/14 11:49:21
-- @desc 设置头信息
local function setHeader(xhr, headers)
    local time = localTime
    -- 得到nouce and sig
    local nouce, sig = HttpManager:getNouceAndSig(time)

    -- 默认头
    local sendHeaders =
        {
            uuid = Game:getIdfv(),
            userid = User:getUserId(),
            sig = sig,
            time = time,
            nouce = nouce,
            device = Game:getDevInfo(),
            ver = Game:getVersion(),
            hotver = Game:getHotVersion(),
            platform = Game:getPlatformId(),
            timezone = Helper:mathFloor((28800 - Helper:getTimeZone()) / 3600),
            channel = Game:getChannelId(),
            package = Game:getPackageId(),
        }

    if Game:getPlatformId() == "android" then
        sendHeaders.pkname = SdkMethod:getPackageName()
        sendHeaders.pksig = SdkMethod:getSignature()
    end

    -- 覆盖头
    for k, v in pairs(Helper:getDef(headers, {})) do
        sendHeaders[k] = v
    end

    -- 设置头
    for k, v in pairs(sendHeaders) do
        if PRINT_MODE == 1 then
            print("sendHeaders["..k.."]= "..tostring(v))
        end
        xhr:setRequestHeader(k, v)
    end
end

-- @author XiaoZhiWei
-- @time 2016/11/14 11:10:58
-- @desc 获取随机nouce 以及加密 sig
function HttpManager:getNouceAndSig(time)
    local nouce = ""
    for i = 1, 6 do
        local index = math.random(65, 122)
        while (index > 90 and index < 97) or index == 101 do
            index = math.random(65, 122)
        end
        nouce = nouce..string.char(index)
    end
    local sig = YXHelper:doMd5ForHttpRequest(nouce, time)
    if PRINT_MODE == 1 then
        print("sig = "..tostring(sig))
        print("nouce = "..tostring(nouce))
    end
    return nouce, sig
end

分析

• time: 1516158302.0023 localTime = localTime + 0.0001 一个基于时间和次数的设置。
• sig: 27347124073b9e2933fb1f7dd971f200 sig = YXHelper:doMd5ForHttpRequest(nouce, time) 一个基于时间和随机文本的请求签名。

我们重点分析：YXHelper:doMd5ForHttpRequest 在lua解密的文件夹里面是搜不到这个函数的实现，这个方法在 native 里面实现；
我们用 IDA 打开 libcocos2dlua.so 搜索 doMd5ForHttpRequest

code：

int __fastcall YXHelper::doMd5ForHttpRequest(int a1, int a2, int a3)
{
  int v3; // r9
  int v4; // r6
  int v5; // r8
  unsigned int i; // r7
  const void *v7; // r10
  size_t v8; // r8
  void *v9; // r9
  int v10; // r7
  char v12; // [sp+Ch] [bp-FCh]
  const void *v13; // [sp+10h] [bp-F8h]
  int v14; // [sp+14h] [bp-F4h]
  int v15; // [sp+18h] [bp-F0h]
  int v16; // [sp+1Ch] [bp-ECh]
  char v17; // [sp+20h] [bp-E8h]
  char v18; // [sp+B8h] [bp-50h]
  char v19[20]; // [sp+C8h] [bp-40h]

  v3 = a2;
  v4 = a1;
  v5 = a3;
  sub_E67C0C(&v13, "ed24bd36b1a87f60bebaca65538a590c", &v14);
  v14 = 0;
  v15 = 0;
  v16 = 0;
  std::vector<std::string,std::allocator<std::string>>::push_back(&v14, v3);
  std::vector<std::string,std::allocator<std::string>>::push_back(&v14, v5);
  std::vector<std::string,std::allocator<std::string>>::push_back(&v14, &v13);
  YXHelper::sortStringList(&v14);
  sub_E66AE0(&v13, &unk_F20BD8);
  for ( i = 0; i < (v15 - v14) >> 2; ++i )
    sub_E65B98(&v13, v14 + 4 * i);
  MD5_Init(&v17);
  v7 = v13;
  v8 = *((_DWORD *)v13 - 3);
  v9 = malloc(*((_DWORD *)v13 - 3));
  memcpy(v9, v7, v8);
  MD5_Update(&v17, v9, v8);
  memset(v19, 0, 0x11u);
  MD5_Final(v19, &v17);
  sub_E67C0C(v4, &unk_F20BD8, &v12);
  v10 = 0;
  do
  {
    sprintf(&v18, "%02x", (unsigned __int8)v19[v10]);
    sub_E65AA0(v4, &v18);
    ++v10;
  }
  while ( v10 != 16 );
  free(v9);
  std::vector<std::string,std::allocator<std::string>>::~vector(&v14);
  sub_E65714(&v13);
  return v4;
}

翻译成C#代码

        private string GetNouceAndSig(string nouce, string time)
        {
            List<string> list = new List<string>();
            list.Add("ed24bd36b1a87f60bebaca65538a590c");
            list.Add(nouce);
            list.Add(time);
            list.Sort();
            string s = string.Join(string.Empty, list);
            using ( var md5 = MD5.Create())
            {

                byte[] md =  md5.ComputeHash(Encoding.UTF8.GetBytes(s));
                return BitConverter.ToString(md).Replace("-", String.Empty).ToLower();
            }
        }

        GetNouceAndSig("1516158302.0023", "pDKFkg")
        > 27347124073b9e2933fb1f7dd971f200

OK,验证通过。
接下来 我们对 POST 提交数据 和 resp 返回数据进行分析。

-- @author TangJian
-- @desc
function HttpManager:post(url, sendData, headers, callback, isNeedWait, isNeedEncrypt)
    self:updateWebTime() -- 刷新时间

    isNeedWait = Helper:getDef(isNeedWait, false) -- 等待默认为false
    -- 检查url是否齐全
    if string.find(url, DOMAIN) == nil and string.find(url, "api/service_ios/") == nil then
        url = DOMAIN..url
    end

    -- 需要等待的处理
    local waitingLayer = nil
    if isNeedWait then
        waitingLayer = WaitingLayer:createInRunningScene()
    end

    -- 请求处理开始
    if PRINT_MODE == 1 then
        print("toUrl = "..tostring(toUrl))
    end

    -- 创建请求
    local xhr = cc.XMLHttpRequest:new()
    xhr.responseType = cc.XMLHTTPREQUEST_RESPONSE_STRING
    xhr:open("post", url, true)
    xhr:registerScriptHandler(
    function()
        -- 移除waitingLayer
        if isNeedWait and waitingLayer then
            waitingLayer:hideAndRemoveSelf()
        end

        -- 校验response
        local response, text 
        if string.find(url, "upload_error_msg") ~= nil or string.find(url, "upload_user_file_5/fankui") ~= nil then
            response, text = xhr.response, xhr.status
        else
            response, text = self:getDecyptResponseWithCheckCheat(url, xhr.response, xhr.status)
        end
        -- 校验response
        -- local response, text = self:getDecyptResponseWithCheckCheat(url, xhr.response, xhr.status)
        -- response 无法获取,直接弹出错误信息文本
        -- if response == nil then
        --     PopText(text)
        -- else
        -- end
        response = Helper:getDef(response, "")
        if PRINT_MODE == 1 then
            print("response:"..tostring(xhr.response))
            print("Decyptresponse:"..tostring(response))
            print("status:"..tostring(xhr.status))
            print( "url = "..url )
        end

        if callback then
            callback(response, xhr.status)
        end
    end)

    -- 设置超时
    xhr.timeout = 999

    -- 设置头
    setHeader(xhr, headers)

    -- 发送请求
    local tmpSendData = sendData
    if type(tmpSendData) == "table" then
        tmpSendData = json.encode(tmpSendData)
    else
        tmpSendData = tostring(tmpSendData)
    end

    if PRINT_MODE == 1 then
        print("加密前 = "..tmpSendData)
    end
    --加密处理
   tmpSendData = self:encryptPostData(tmpSendData ,isNeedEncrypt)
   if PRINT_MODE == 1 then
       print("加密后 = "..tmpSendData)
   end
    xhr:send(tmpSendData)
end

-- @author XiaoZhiWei
-- @time 2016/11/14 18:54:24
-- @desc 对Post请求数据进行加密处理
function HttpManager:encryptPostData(data, isNeedEncrypt)
    -- 如果数据是空的则不需要加密处理了
    if data ~= nil and isNeedEncrypt == true then
        return JMForLua:encrypt(data)
    else
        return data
    end
end

还是在IDA中搜索 encrypt

_BYTE *__fastcall JM::encrypt_3(JM *a1, unsigned __int8 *a2, unsigned int a3)
{
  JM *v3; // r8
  size_t v4; // r5
  unsigned int *v5; // r7
  int v6; // r3
  _BYTE *v7; // r4
  void *v8; // r0
  size_t v9; // r8
  int v10; // r9
  void *v11; // r5
  unsigned int v12; // r2
  int v14; // [sp+8h] [bp-A8h]
  char v15; // [sp+Ch] [bp-A4h]

  v3 = a1;
  v4 = (size_t)a2;
  v5 = (unsigned int *)a3;
  if ( JM::isEncrypted(a1, a2, a3) )
  {
    v7 = malloc(v4);
    memcpy(v7, (const void *)v3, v4);
    *v5 = v4;
  }
  else
  {
    JM::gek((JM *)&v15, (unsigned __int8 *)&v14, (unsigned int *)((char *)&dword_0 + 3), v6);
    v8 = (void *)xxtea_encrypt((unsigned __int8 *)v3, v4, (unsigned __int8 *)&v15, 0x80u, v5);
    v9 = *v5;
    v10 = v14;
    v11 = v8;
    v7 = malloc(*v5 + v14);
    memcpy(&v7[v10], v11, v9);
    free(v11);
    *v7 = 70;
    v7[1] = 88;
    v7[2] = 88;
    v7[3] = 70;
    v12 = *v5;
    v7[4] = 48;
    v7[5] = 49;
    *v5 = v14 + v12;
  }
  return v7;
}

可以看到，使用了 xxtea 加密，xxtea 属于对称加密，所以这一步我们只要找到 xxtea 加密的的key 就可以了。

key获取函数

JM::gek(&v14, &v13, 3);

signed int __fastcall JM::gek(char *a1, _DWORD *a2, int a3)
{
//......忽略声明
  v3 = a1;
  if ( a1 )
  {
    if ( a3 == 1 )
    {
                //......忽略无关代码
    }
    else
    {
      *a2 = 6;
      if ( a3 == 2 )
      {
                  //......忽略无关代码
      }
      else
      {
        memcpy(a1, &unk_F29BE4, 0x80u);
      }
    }
  }
  return 1;
}

key memcpy(a1, &unk_F29BE4, 0x80u);

key 我们已经拿到了，接下来我们就要验证 这个key 是否正确了。翻译 encrypt_3 到c#；

Github下载 libxxtea-cocos2d-x

他的key 长度是128，我只能下载官方的lib 然后编译成dll给C#调用。

加密解密翻译成 C# 代码

    public class JM
    {
        public static string Encrypt(string s)
        {
            string rv = string.Empty;
            rv = "465858463031" + XXTEA.Encrypt(s);
            return rv;
        }

        public static string Decrypt(string s)
        {
            string rv = string.Empty;
            if (string.IsNullOrEmpty(s) || s.Length <12 ||  !"465858463031".Equals(s.Substring(0,12)))
            {
                return rv;
            }
            var bytes = SoapHexBinary.Parse(s.Substring(12)).Value;
            rv = XXTEA.Decrypt(bytes);
            return rv;
        }
    }

加密解密验证：

string s = "4658584630310e23c9551ea30bf3ddbe22ee07994e72a761294deea474f02f5051e092c493275e8e45832fa47b3f0f58d4083a90b84e73bba12b4edf9aa073848139c3c55b5b8b2626d234455b42ca077b08fdb7ef9b8fd3d930356b75afa1c23468efc4ff2df768275649a050989d5504c80a0b1e795db7700f";
Debug.WriteLine(JM.Decrypt(s));
Debug.WriteLine(JM.Encrypt(JM.Decrypt(s)).Equals(s));

>{"errcode":0,"sig":{"time":"1516158827.6761","nouce":"TMIPVP","signature":"6e691fe50ce57bef45361df01463a032"}}
>True

3. 总结
   协议分析已经完成，接下来的工作就是 开发一个http代{过}{滤}理工具，捕捉和修改 http 请求包。实现 解密 修改 加密；
   劫持修改工具开发中。

    本文是看到《乐元素CTO凌聪：弱联网手游如何防作弊？》之后，我觉得这篇文章讲的东西都很实用，贴合我们实际，比你看那些理论的书籍强多了，而且也非常佩服乐元素能把这些东西拿出来讲，虽然在某些人眼里，这些都不算什么，但是这些人有把你们所了解的技术拿出来分享？确实这篇文章能很多小白了解各种技术的契机，如果你能拓展所说的概念，那么你会学到很多东西。原文内容如下：

    在刚刚举行的MDCC活动上，乐元素CTO凌聪分享了一个非常有意思的话题：移动游戏如何进行防作弊的攻防战。

http://pan.baidu.com/s/1hqD4yyg

using UnityEngine;using System.Collections;public class Normal : MonoBehaviour { int m_Attack=0; int m_ShowAttack=0; // Use this for initialization void Start () { } void OnGUI() {  m_ShowAttack=m_Attack;  if(m_ShowAttack<0)    m_ShowAttack=0;  GUI.Label(new Rect(100,100,100,500),m_ShowAttack.ToString());  if(GUI.Button(new Rect(100,300,100,100),"普通赋值"))  {   m_Attack=100;  }  if(GUI.Button(new Rect(300,300,100,100),"修改伤害值"))  {   m_Attack+=1;  }  if(GUI.Button(new Rect(450,100,100,100),"跳转到加密测试"))  {   Application.LoadLevel("Encryption");  } }  // Update is called once per frame void Update () {  }}

using UnityEngine;using System.Collections;public class Encryption : MonoBehaviour { int m_Attack=0; //存储数据用于计算伤害; int m_ShowAttack=0; //存储数据用于显示; // Use this for initialization void Start () {  }  void OnGUI() {  m_ShowAttack=m_Attack-1;  if(m_ShowAttack<0)    m_ShowAttack=0;  GUI.Label(new Rect(100,100,100,500),m_ShowAttack.ToString());    if(GUI.Button(new Rect(100,300,100,100),"加密赋值"))  {   m_Attack=(100 + 1);  }  if(GUI.Button(new Rect(300,300,100,100),"修改伤害值"))  {   m_Attack+=1;  }  if(GUI.Button(new Rect(450,100,100,100),"跳转到普通测试"))  {   Application.LoadLevel("Normal");  } }}

再分享一下我老师大神的人工智能教程吧。零基础！通俗易懂！风趣幽默！还带黄段子！希望你也加入到我们人工智能的队伍中来！https://blog.csdn.net/jiangjunshow