Наставьте на путь истинный

[dwa83]

Здравствуйте, загорелся идеей написать бота под свои нужды (так как нет идеального бота для всех случаев, как уже на форуме кто-то писал).

Скачал Borland C++ builder 6, решил в ней делать.
Делфи с паскалем уже подзабыл, так как в какой то момент на c++ перепрыгнул (с++ тоже вспоминать придётся, да и знания средненькие).

Решил пока сделать считывание параметров перса.
Вооружившись вот этой темкой
http://zhyk.ru/forum/showthread.php?t=356949
этой
http://zhyk.ru/forum/showthread.php?t=287321
и на всякий случай этой
[Ссылки могут видеть только зарегистрированные пользователи. ]

Полазил пару часов пока допёр как подключаться к процессу и как считывать. В итоге прога считывает значение ХП перса, но почему-то не то значение. Знающие с++, ткните меня в то место где я напортачил, уже не знаю в какую сторону копать.

Вот код с проекта
Этот кусок вначале после подключения библиотек

HWND hwndPW;   // хэндл окна PW
DWORD pid;     // unsigned long
HANDLE process; // процесс PW

DWORD BA       = 0x00B27A04; // базовый адрес
DWORD persA1   = 0x1C; // смещение1 (структура перса)
DWORD persA2   = 0x34; // смещение2 (структура перса)
DWORD hpA      = 0x0490; // хп перса

DWORD buff;
DWORD bcount;

int hp;

И этот кусок в обработчике нажатия на кнопку(на форме только кнопка и листбокс)

 hwndPW=FindWindow(0,"Perfect World");
  GetWindowThreadProcessId(hwndPW,&pid);
  process=OpenProcess(PROCESS_ALL_ACCESS,false,DWORD(pid));

  ReadProcessMemory(process,&BA,&buff,sizeof(buff),&bcount);
  ReadProcessMemory(process,&(buff+=persA1),&buff,sizeof(buff),&bcount);
  ReadProcessMemory(process,&(buff+=persA2),&buff,sizeof(buff),&bcount);
  ReadProcessMemory(process,&(buff+=hpA),&hp,sizeof(hp),&bcount);

  CloseHandle(process);

  ListBox1->Clear();
  ListBox1->Items->Add("Хэндл окна - "+IntToStr(int(hwndPW)));
  ListBox1->Items->Add("PID просесса - "+IntToStr(int(pid)));
  ListBox1->Items->Add("просесс - "+IntToStr(int(process)));
  ListBox1->Items->Add("Базовый адрес - "+IntToStr(int(BA)));
  ListBox1->Items->Add("Что получили - "+IntToStr(int(hp)));

http://www.zhyk.ru/forum/picture.php?albumid=1299&pictureid=3496

[krukovis]

Цитата: Сообщение от dwa83 DWORD bcount;

Это, на сколько помню, параметр - Количество бит для чтения. и он должен быть равен в твоем случае четырем 4.
А у тебя походу 0.

[dwa83]

Нет нет, это счётчик количества считанных байт из памяти. Помоему он нафик не нужен даже. Ну если только для проверки всё ли мы считали, что хотели.

Добавлено через 3 минуты
Я вот думаю может с оффсетами чего-то напутал, или может считываю как то не правильно..
Ещё вопрос; вот дана цепочка смещений, доходим до последнего адреса, считываем, и там находится нужное нам значение или адрес нужного нам значения?

Добавлено через 1 час 28 минут
Нашёл наконец таки ошибку) Сыграла свою роль забытость языка и, в частности, способы передачи данных в функцию))

Стоило только преобразовать тип к (void*)BA вместо &BA и всё заработало) Помогли некоторые примеры, написанные на C++, плохо что таковых очень мало тут по сравнению с темами для Delphi(

[BritishColonist]

dwa83, ознакомьтесь с темой: http://zhyk.ru/forum/showthread.php?t=274071.
Если интересуют конкретные особенности языка (а в частности: использование WinAPI, DLL, макросов, указателей, классов), то вот ещё две мои темы, правда на другом сайте и по другой игре, но вроде подробно описаны многие вещи:
[Ссылки могут видеть только зарегистрированные пользователи. ]
[Ссылки могут видеть только зарегистрированные пользователи. ]
Хотя присутствуют излишества (например, return в конце каждой функции. это необязательно), но это не так важно.

Кстати, работать в любом случае придётся в основном с WinAPI, следовательно, примеры под Delphi тоже будут довольно-таки понятными.

[dwa83]

Спасибо, ознакомлюсь. С считыванием данных пока разобрался, теперь нужно с инжектом разобраться, пока понятий об этом совсем ноль, ну почти. Почитаю данные темки, если будут вопросы - пишу сюда)
Пока сделал вот такую штуку
http://www.zhyk.ru/forum/picture.php?albumid=1299&pictureid=3502

[dwa83]

Почитал первую темку, понял примерно следующее. Если что-то не так понял, поправьте меня.


В классе игрока вызываем функцию(например таргета)
внутри функции таргета происходит вызов функции InjectAndExecute(иньекция потока и ожидание его завершения, если я правильно понял), в качестве параметров мы передаём указатель на нашу функцию и указатель на параметры для этой функции. То-есть функция уже существует в адресном пространстве НАШЕЙ программы и так же значение параметра лежит гдето тут же у нас в проге..

Далее функция инжекта выделяет в ЧУЖОМ процессе дополнительное место размером с нашу функция и дополнительно место под хранение наших параметров а нам возвращает указатели на эти места(допустим это будет Pf - указатель на место в памяти выделенное в другом процессе под функция и pp - аналогичный указатель на место памяти, где будут храниться параметры для функции. Далее мы берём указатель на функцию в нашей проге и указатель на параметры и, пользуясь ими, копируем нашу функцию с параметрами в выделенную в другом процесе память. Далее мы создаём поток (к многопоточным приложениям я к сожалению отнёсся без интереса когда в своё время насиловал книжку по с++, потому не знаю об этом нифига), как я понимаю этот кусок кода будет выполняться параллельно с основным потоком клиента игры, и по завершению кода этот поток сообщает в то место, откуда мы его создали, а именно в нашу программу, что он завершился. Далее в нашей же программе идёт освобождение памяти в чужом процессе, занимаемой функцией и параметрами.

А что происходит после создания потока с нашей функцией? Она запускается сразу после создания потока?
Так же вопрос: Как сюда Target_THREAD(DWORD* WorldIdentifier) попадает указатель на место? в результате выполнения CreateRemoteThread? А если у нас не один пармаметр передаётся, как их передавать? Допустим у нас есть func_THREAD(DWORD* var1, DWORD* var2) тогда нам по указателю pParams нужно хранить массив с этими двумя параметрами, следующими в порядке их обьявления в параметрах функции?

Допустим всё так, тогда идём дальше. В созданном потоке находится копия кода, вызывающего клиентскую функцию таргета, но уже с нашей модификацией (подставляем свой ID), и далее идёт обычный вызов клиентской функции таргета с как обычно подготовленными регистрами:

pushad // сохраняем все регистры, чтобы не "повредить" стек
mov edx,0x00606A70 // помещаем адрес клиентской функции таргета(Как искать?)
mov edi,Id //тут помещаем ID
mov eax,dword ptr ds:[BA] // Базовый адрес как то используется в функции таргета?
push edi // Тут мы для неё готовим параметр, записав его в стек, если я правильно понял
mov ecx,dword ptr ds:[eax+0x20] // Какоето смещение от базового адреса? что за смещение?
add ecx,0xEC // Как я понял тут идёт по аналогии с *(*BA+0x20)+0xEC не понял что это за цепочка
call edx // собственно вызов функции
popad // возвращаем регистры на место

Дофига осталось непонятных вещей.. А в общем я всё правильно понял?
На ассемблере прогил ооочень давно и совсем на другой платформе(старый добрый z80) но думаю разобраться не составит труда.

[BritishColonist]

dwa83, вроде всё верно.
В клиенте выделяется память под функцию, в эту область памяти записывается код функции и параметры к ней же, потом происходит вызов функции через CreateRemoteThread, которой в качестве параметров помимо хендла процесса передаются указатели на функцию и параметры к ней (указатели эти получены из памяти клиента при выделении в нём памяти). После вызова CreateRemoteThread, созданный поток сразу же запускается (сам), следовательно, код функции потока сразу же начнёт выполняться. Как только функция потока возвращает управление, поток, кажется, убивается. Я точно не уверен. Примерно в этом состоит основной принцип инжектов.
Код, имитирующий действия клиента все привыкли называть просто инжектами. Инжекты представляют собой код (преимущественно ассемблерный), предназначенный исключительно для внедрения в другой процесс (нет смысла в прямом запуске инжектов из программы). Поэтому некоторые любят получать байткод своих инжектов и записывать байты из него в массив, чтобы не обрамлять инжект в своей программе как обычную функцию.
Передать несколько параметров можно, например, любым структурированным типом (class, struct). Рекомендую использовать именно структуры, так логичнее. То есть нужные параметры можно описать как поля структуры, присвоить им определённые значения, а затем передать в функцию указатель на эту структуру. Причём тут есть два варианта: один набор параметров - одна структура (т.е. в разных инжектах будет использоваться своя структура со своими понятными именами полей, например Player->TargetId), либо (как любят дельфисты портала) одна структура для любых инжектов (но тогда будет тяжелее восприниматься смысл кода, ибо поля будут всегда иметь одинаковые имена, например PParams->Param1).
Как искать адреса, смещения и код для инжекта? Здесь необходим опыт работы в отладчике (например, OllyDbg) и в программе вроде Cheat Engine. CE используется для поиска смещений и кода, работающего с определёнными адресами, а Olly - для анализа этого кода, понимания его логики, выделения значимых его частей. Чтобы понять некоторые основы сего ремесла, нужно читать соответствующие статьи (благо, есть люди, которые пишут их) и уделять много времени копанию в коде клиента.
Вот парочка годных статей от Dinmaite:
поиск базового адреса (об указателях и смещениях);
поиск кода для инжекта (об инъекциях кода).

[dwa83]

BritishColonist, спасибо огромное за обучалку. Всё получилось, всё работает. С инжектами разобрался, с поиском кода для инжекта тоже, прочитав темы по данным ссылкам. Осталось программу нормально структурировать(пока только есть недоклассы для работы с удалённым процессом, который включает в себя функции считывания данных в различные структуры, списки окружабщих мобов\нпс, параметры персонажа, и одна рабочая функция для инжекта). Осталось найти несколько необходимых кусков кода для инжекта и можно будет стряпать логику поведения самого бота). Спасибо ткнуть увы не могу, сообщений маловато. Вообще не думал что осилю данную тему, но подсказки и обьяснения были на высоте)

Добавлено через 6 часов 2 минуты
Вот вопросик ещё.. искал код использования скилла, нашёл вот это. Что это за вызов такой странный в последней строчке? Ещё интересно вот что, здесь идёт запоминание ESI и EDI, но выше по коду я не вижу вообще откуда в них берутся значения.. как тут поступить? Уже столько раз клиент подвесил) замаялся))

CPU Disasm
Address Command Comments
004B64EF NOP
004B64F0 /. SUB ESP,8
004B64F3 |. PUSH EBP
004B64F4 |. MOV EBP,ECX
004B64F6 |. MOV EAX,DWORD PTR SS:[EBP+8]
004B64F9 |. TEST EAX,EAX
004B64FB |. JNE SHORT 004B6504
004B64FD |. XOR AL,AL
004B64FF |. POP EBP
004B6500 |. ADD ESP,8
004B6503 |. RETN
004B6504 |> MOV ECX,DWORD PTR DS:[0B27A04]
004B650A |. MOV EAX,DWORD PTR DS:[EAX+8]
004B650D |. PUSH ESI
004B650E |. PUSH EDI
004B650F |. MOV EDX,DWORD PTR DS:[ECX+1C]
004B6512 |. PUSH EAX
004B6513 |. MOV ESI,DWORD PTR DS:[EDX+34]
004B6516 |. CALL DWORD PTR DS:[<&ElementSkill.?IsGoblinSkill@ElementSkill@GNET@@S A_NI@Z>]

[BritishColonist]

dwa83, вероятно, эти регистры были заполнены до вызова данной функции.
Странный вызов - вызов функции IsGoblinSkill из библиотеки ElementSkill. Честно говоря, я не узнавал, в чём смысл этого названия и что она делает, но это точно не нужно. Если интересно, могу подогнать свой инжект скиллов.

[dwa83]

Не отказался бы от кода, самому найти не получается. Пытался отсеивать так: искал в СЕ адреса из которых идёт обращение к BA при нажатии на 1 скилл, затем из найденных адресов выбирал те, по которым проходит и при использовании другого скилла, ну и на всякий случай отсеял при использовании скилла и его отмене тут же, чтобы отсеять именно начало использования. При этом нашёл только один нормальный кусок кода, в котором присутствует ID скилла как параметр, но и с ним не получилось, там вроде бы кроме самого ID пара нулей как параметры в стек помещались. В итоге клиент подвисал. А тот код что я выше указал я последним нашёл, когда отсеивал на привращении дру в лису и обратно, причём отсеился единственный кусок кода, к тому же там перед вызовом функции как раз и указывался ID скилла в PUSH EAX, но видимо всё равно не то. Так же пробовал взять из темки готовый адрес, и искал все вызовы call 0xADRES. Таких кусков нашёл штук 5, да и с ними не смог ничего работающего сделать.

[BritishColonist]

void CPlayer::CastSkillOnTarget(DWORD SkillId) // кастуется строго на цель, но если эффект положительный, а цель - моб/враг, то кастуется на себя
{
	DWORD Function = 0x00463630;
	__asm	{
		push -1
		push 0
		push 0
		mov ecx,PlayerStruct
		push SkillId
		call Function
	}
}
void CPlayer::CastSkillOnSelf(DWORD SkillId) // даже если кто-то выделен, скилл пойдёт на себя, но атакующие скиллы не пройдут даже по мобам
{
	DWORD wId = *(DWORD*)(PlayerStruct+0x47C);
	DWORD PtrToPlayerWId = (DWORD)&wId;
	DWORD Function = 0x00697760;
	__asm	{
		push PtrToPlayerWId
		push 1
		push 0
		push SkillId
		call Function
	}
}

Эти два инжекта я использую из DLL, поэтому параметры передаются не как указатели, а как конкретные числа. И поэтому я напрямую читаю память через указатели во втором инжекте. Впрочем вас скорее заинтересует первый из них, т.к. его проще всего будет правильно внедрить.

[dwa83]

Спасибо, первый кусок прикрутил. Наконец работает и не виснет ничего). Сделал так вот:

void __stdcall Skill_THREAD(DWORD* ID)
{
  DWORD Id = *ID;
  DWORD Function = 0x00463630;
  __asm
  {
    push -1
    push 0
    push 0
    mov ecx,DWORD PTR DS:[0x0B27A04]
    mov ecx,DWORD PTR DS:[ecx+0x1C]
    mov ecx,DWORD PTR DS:[ecx+0x34]
    push Id
    call Function
  }
}

Добавлено через 2 часа 12 минут
Как бы не надоесть в вопросами, но спрошу. Вопрос касается работы в среде с++ builder. У меня вечное недопонимание того, как следует объявлять модули в начале друг друга. Как пример: есть модуль главной программы. В нём я объявляю новый модуль в котором описываю реализацию своего класса. В классе используются некоторые переменные типа структур, эти структуры я тоже описываю в этом же модуле выше описания моего класса. Теперь мне нужно в другом модуле использовать переменные такого же типа как эти структуры. Если их так же описать в другом модуле, получу ошибку повторного описания структуры. Я выношу эти структуры в отдельный модуль, который обьявляю в начале модуля, в котором они были раньше. Так же объявляю этот модуль с описанием структур в другом, где они тоже должны использоваться. В итоге опять же получаю ошибку "Multiple declaration for ...". Если обьявляю этот файл со структурами в модуле главной программы перед обьявлениями двух модулей(в которых используются эти типы), то результат - эти типы не видны в этих модулях. Где можно взять инфу конкретно по этой теме? Даже не знаю каким запросом гуглить.

[BritishColonist]

dwa83, честно говоря, даже не знаю, что и посоветовать. Я обычно делаю всё одним файлом, чтобы не париться с этими инклудами. C++, знаешь ли.. Тут всё строго : D

[dwa83]

Наверное так и придётся сделать, но вот код получится слишком громоздким, можно запутаться

Добавлено через 22 часа 0 минут
Кстати вот пока всё что наковырял. По ходу обдумывания поведения бота, поискал некоторые инжекты. Некоторые из них на форуме были на Делфи, я их под себя на с++ переделал. Может кому пригодится, вдруг кто-то на с++ пишет, а переделывать с Делфи не охота). Самолично найти получилось только Target, Fly, CallPet

некоторые инжекты на с++

// Оффсеты
#define BA                  0xB27A04 // базовый адрес
#define GA                  0xB280C4 // game adress
#define D_GA                0x1C // смщение до GA

// Структура персонажа BA+GA+
#define PERS_STRUCT         0x34 // структура перса

// Параметры персонажа BA+GA+PERSSTRUCT+
#define MY_ACTION_ARRAY     0x1050 // Массив действий
#define MY_PET_ARRAY        0x1068 // Массив петов


// Адреса функций
#define F_TARGET            0x006686E0 //Выделение моба по WID
#define F_SKILL             0x00463630 //Использование скилла по ID
#define F_MOVE1             0x0046E410 //Перемещение персонажа
#define F_MOVE2             0x004728E0 //Перемещение персонажа
#define F_MOVE3             0x0046E880 //Перемещение персонажа
#define F_FLY               0x00668490 //Полёт вкл/выкл
#define F_CALL_PET          0x0046C680 //Вызов пета
#define F_GET_LOOT          0x00469B40 //Подбор лута/шахты

struct COORDS
{
  float x;
  float y;
  float z;
  BYTE state;
};

struct LOOT_ITEM
{
  DWORD wid;
  unsigned short type;
};


//###########################
// Таргет по WID
void __stdcall Target_THREAD(DWORD* WID) 
{
  DWORD Id = *WID; 
  __asm
  {
    MOV EDI, Id                             
    MOV EBX, F_TARGET                       
    MOV EAX,DWORD PTR DS:[BA]               
    PUSH EDI                                // ; /Arg1
    MOV ECX,DWORD PTR DS:[EAX+0x20]         // ; |
    ADD ECX,0x0EC                           // ; |
    CALL EBX                                // ; \elementc.00606A70
  }
}

//###########################
// Использование скилла по ID
void __stdcall Skill_THREAD(DWORD* ID)
{
  DWORD Id = *ID;
  DWORD Function = F_SKILL;
  __asm
  {
    push -1
    push 0
    push 0
    mov ecx,DWORD PTR DS:[BA]
    mov ecx,DWORD PTR DS:[ecx+D_GA]
    mov ecx,DWORD PTR DS:[ecx+PERS_STRUCT]
    push Id
    call Function
  }
}

//###########################
// Перемещение в координаты
void __stdcall MoveTo_THREAD(COORDS* coord)
{

DWORD Function1 = F_MOVE1;
DWORD Function2 = F_MOVE2;
DWORD Function3 = F_MOVE3;

float x = coord->x;
float y = coord->y;
float z = coord->z;
DWORD flying = coord->state;

 __asm
 {
  mov eax, dword ptr [GA]
  mov esi, dword ptr [eax+PERS_STRUCT]
  mov ecx, dword ptr [esi+MY_ACTION_ARRAY]
  push 1
  call Function1
  mov edi, eax
  lea eax, dword ptr [esp+0x0C]
  push eax
  push flying
  mov ecx, edi
  call Function2
  mov ecx, dword ptr [esi+MY_ACTION_ARRAY]
  push 0
  push 1
  push edi
  push 1
  call Function3
  mov eax, dword ptr [GA]
  mov eax, dword ptr [eax+PERS_STRUCT]
  mov eax, dword ptr [eax+MY_ACTION_ARRAY]
  mov eax, dword ptr [eax+0x30]
  mov ecx, dword ptr [eax+0x4]
  mov eax, x
  mov dword ptr[ecx+0x20], eax
  mov eax, z
  mov dword ptr[ecx+0x24], eax
  mov eax, y
  mov dword ptr[ecx+0x28], eax
 }

}

//###########################
// Включение/выключение полёта
void __stdcall Fly_THREAD(WORD* FlyID)
{
  DWORD fID = *FlyID;
  DWORD Function = F_FLY;
  __asm
  {
    MOV EAX,DWORD PTR DS:[BA]
    PUSH 0x1                                 //  ; /Arg4 = 1
    PUSH fID                                 //  ; |Arg3
    MOV ECX,DWORD PTR DS:[EAX+0x20]          //  ; |
    PUSH 0x0C                                //  ; |Arg2 = 0C
    PUSH 0x1                                 //  ; |Arg1 = 1
    ADD ECX,0x0EC                            //  ; |
    CALL Function                            //  ; \elementclient.00668490
  }
}

//###########################
// Вызов пета из ячейки
void __stdcall CallPet_THREAD(BYTE* number)
{
  DWORD nom = *number;
  DWORD Function = F_CALL_PET;
  __asm
  {
    MOV ECX,DWORD PTR DS:[BA]
    MOV EAX,nom
    MOV EDX,DWORD PTR DS:[ECX+D_GA]
    MOV ECX,DWORD PTR DS:[EDX+PERS_STRUCT]
    MOV EDX,DWORD PTR DS:[ECX+MY_PET_ARRAY]
    PUSH EAX                                // ; /Arg1 => [ARG.ECX+8]
    CALL Function                           // ; \elementclient.0046C680
  }
}

//###########################
// Подбор лута/шахты по WID
void __stdcall GetLoot_THREAD(LOOT_ITEM* itm)
{
  DWORD wid = itm->wid;
  DWORD typ = itm->type;
  DWORD Function = F_GET_LOOT;
  __asm
  {
    mov ecx, dword ptr DS:[GA]
    mov ecx, dword ptr DS:[ecx+PERS_STRUCT]              
    PUSH typ                                 // 0 - лута, 1 - шахт
    PUSH wid                                 // wid ресурса
    call Function
  }
}

[dwa83]

Не подскажете инжекты покупки продажи? Сколько не искал не получается найти. Так же не хватает ремонта всего снаряжения. Пока что такой бот: Прилетает по заданным координатам, приземляется готовит пета лупит мобов(параметры мобов задаются в окне бота), собирает лут только в близи убитого моба(пропуская тот что не может поднять) до заполнения инвентаря, затем летит продаваться открывает диалог ...... закрывает диалог и возвращается на место фарма.

Вот в пропущеном месте хотелось бы вставить починку, докупку банок и продажу хлама. Может кто-нибудь помочь с этим? В темке с инжектами есть данные функции, но новые адреса к ним я увы не могу найти, поиск приводит к совершенно не похожим на эти функции кускам кода.

Добавлено через 21 минуту
Интересует ещё такой вопрос. В чём суть инжектов пакетов? Я так понимаю это уже готовые для отправки на сервер команды в виде массива байт. И не опаснее ли схватить с ними бан чем с инжектами функций? Ведь при инжектах функций все пакеты клиент готовит сам, а тут отправка напрямую идёт?