Просмотр полной версии : Розыскивается злой гений, который расковырял core.dll на lagam.net 2 года тому назад!
любимый сервер lagam.net почил где-то на складе отдела К, хотя админ мож и заливал, лишь бы от нас отвязаться, но тем не менее, был момент, когда l2ph там не работал. клиент просто критовало :)
насколько я знаю месные любители автоматики засели за расковыривание, но до конца дело не довели, так как кто-то подсунул им готовые расковыренные и переделанные core.dll и engine.dll в архиве под названием Anti_Gen_DLL's.
сейчас ситуация таж самая, даже у админа тоже в нике три буквы... нет не матерные... к сожалению, но близко. мало того что-то типа гейм гварда, так плюс еще шифрация трафика.
посему очень хотелось бы найти того злого гения, который сделал это 2 года тому назад - спросить небыло ли у него видео роликов на тему расковыривания дллок, какими инструментами ковырял (по слухам некая Оля, со специальным плагином). хрен бы с ней с шифрацией, посмотреть бы как он это делает, снимает хуки и отлов момента внедрения l2ph.
я делал специальную рамку для клиента, и ту ловит и ругается. идея была какая - при запуске без рамок клиента (UseWindowFrame=False) все замечательно, при игре в оконном режиме, в пвп при суматохе случайно не поменяешь размер окна и клиент не зависнет на несколько секунд, и тебя не убьют из-за этого НО! если у тебя открыто 2-3 окна, то их невозможно передвинуть в разные углы экрана. они все запускаются в верхнем левом углу и накладываются друг на друга, что совсем не айс. так вот моя рамка запускалась в 800х600, с запретом на изменение размера, но сама рамка была видна, её можно было двигать и клиент переносился как бы в окно моей программы. при этом на сервер не пускало, и писало админу что я читор, использую чото там виндовс апи бла бла бла. наподобии как тут:
07.05.2011 12:13:25: L2PacketHack (ID=***, IP=*.*.*.*)
07.05.2011 12:13:25: WinAPI Hack (ID=***, IP=*.*.*.*)
07.05.2011 12:28:53: L2PacketHack (ID=***, IP=*.*.*.*)
07.05.2011 12:28:53: WinAPI Hack (ID=***, IP=*.*.*.*)
ну я выкрутился, то есть сперва запускается рамка, потом клиент, потом входишь в игру в клиенте, переключаешься на рамку, и жмешь ентыр, л2 переносится в окно моей рамки - клиент папке-админу не ругается, а я играю в рамке и щаслив. хотелось бы выкрутиться еще с л2пх.
остался конечно вариант с виртуальной машинкой еще, там правда будет шифрация трафика, и плюс не удобство мотание ресурсов компьютера (ну не купил я еще i7). посему был бы рад найти того мастера.
supernewbie
09.05.2011, 13:47
хроники какие? где полный сайт? почему на lagam.net тока надпись "Welcome to lagam.net"? Кто ответит на эти вопросы?
supernewbie, мы с серегой на 1 серве играем вроде ;) так что ты сайт знаешь )))))
supernewbie
09.05.2011, 14:07
тьфу *ля, а че тут какой-то lagam.net в теме..
supernewbie, как я понял, на лагам.нет была подобная защита и кто-то её нахер расковырял)
supernewbie, так мне бы видеоролики, а не всю работу сделать за меня :) главное это самообразование, а не конечный эффект. лагам.нет умер, я ж говорю... надеялся того самого специалиста найти, и проконсультироваться :)
SeregaZ, когда ньюби увидел защиту он офигел :(
:shout: подозреваю этот злой гений женился, вышел на пенсию, и забил на интернет...
:shout: подозреваю этот злой гений женился, вышел на пенсию, и забил на интернет...
Или этот тип был завербован сверхсекретной организацией по контролю за пришельцами ))). Но как серёга и сказал, он забил на интернет :)
кароче. шифрации нет. все итак работает. через нубский метод обхода в виде прокси сервера на виртуальной или второй машине.
две виртуальные машины мучал, не домучал... как там юсб модем установить так и не вкурил, пришлось старый амд подключать, локалку натягивать, но вроде в игру входит и выходит, и кричит в чате раз в полсекунды что админ му**г.
причем прикол - если клиент запущен и в игре, а потом запустить л2пх, ничо не делать и сразу выключить, то клиент отрубает передачу данных на сервер :) стоишь, мышкой тыркаешь, а он как статуя, хотя все кругом бегают, суетятся :) значит защита работает постоянно, и поскольку нод ругался на темиду, значит сцуко хитрым упаковщиком пережато, значит расковырять мою кор.длл будет крайне сложно :)
ну хоть так по нубски работает, и ладно.
Защиты вообще неблагодарная работа разбирать внутри, это тяжело, малоэффективно и рисковано. Есть способы куда нежнее)
supernewbie
12.05.2011, 12:27
типо фроста?
я доковырялся :) подцепил или трояна, или чего... тремя антивирусами гонял, без толку - клиент не пускает :) пишет что я читор, хотя вообще ничего не запущено. автозагрузку почистил по самые помидоры. л2пх тут и не пахнет, а клиент все равно ругается и не пускает авторизацию. такое может быть в случае если трояном ехе файл попортился, или он висит все время в памяти и пытается внедрится в л2.ехе, а клиент из-за этого верещит, что его хакнуть пытаются. AVZой гонял туда суда, автозагрузку смотрел, драйвера, ну чистый же зараза, и все равно не пускает :)
уже и патч скачал по новой, сверху кинул, запустил - аналогично. мысль только бан по мак адресу, а выглядит как "сработала защита клиента". чего теперь виндовс чтоль переустанавливать? :) пожже обратно л2пх через прокси подключу и еще раз гляну. будет крайне весело, если без читорских программ клиент не работает, а если с читорскими то работает.
и еще вопрос. л2пхой можно заэмулировать клиент, но сам клиент для прохождения авторизации надо бы запустить, а потом можно выйти. а как самим л2пхой сделать подобную эмуляцию авторизации чтобы вообще не зависеть от клиента?
и есть ли особая хитрая версия л2пх, которая будет видеть пакеты сразу как только клиент запустился, а то моя видит только с момента выбора чара, а процесс авторизации не видит. хотелось бы видеть цепь пакетов в момент авторизации. честное пионерское не для кражи паролей :) если бы я видел эти самые пакеты, возможно можно было бы заблочить отсылку пакета типа "запущен л2пх" на сервер, и продолжить авторизацию как нивчем не было.
а еще хотело бы видеть потоки в л2пх. по сути л2пх практически готовый сервер, а немного разбираясь в коде л2пх хочу сделать что-то типа одиночной рпг, или может даже игру для небольшой пати на основе линейки. но без потоков думаю будет сложновато :)
Фрост это вообще адский руткит хукающий полсистемы )
тут все проще. чтоб скрыть нежелательное по от защиты типа вышеописаной думаю достаточно заинжектить длл и перехватить ченеть типа creattoolhelpsnapshot и enumerateprocess + enumwindows. Фрост так ненаепеш он сам хукает много чего и палит свои хуки.
Добавлено через 3 минуты
А вообще больше ниче не пишу тут про обходы. argot со своим ссрexpert тоже старый боец с кодера) смеетса поди щас над нами :)
так! кто может подсказать что-то типа дебагера, может оли, только я ей пользоваться не умею - чтобы выяснить, что пытается влесть в клиент, что клиент материться, хотя я вообще ничего не запускал. этот троян, руткит, или кто он там меня достал. весь день пытаюсь запустить - не выходит.
перекинул клиент на второй комп - все нормально, заходит. а на этом никак.
Добавлено через 7 часов 3 минуты
я уже зае..лсяяяяя...
антивирус снес, еще раз погонял различными антивирусами, поудалял все что можно, один хрен не пускает в игру. на втором компе пускает, посмотрел разница только в одном на "забаненом" л2.ехе подгружает ADVAPI32.DLL
удалить её нельзя - бсод. вот теперь вопрос - как узнать что за приложение запускает эту длл? затрахался я... переустанавливать ХР не буду принципиально :)
Адвапи это одна из критических системных библиотек) через нее все приложения в частности работают с реестром итд. Тока не говори что чистый клиент ее не юзает) если там канеш не своя адвапи в патче для маскировки
Добавлено через 2 минуты
Для начала какимнить petools найди из какова каталога она подгружена
да догонялся, что снес удаленные подключения. пришлось делать переустановку, сейчас виндовс у меня белая и пушистая. в игру пускает.
но при переустановке полетели все вкладки и пароли в мозиле. я скопировал профиль, думал прикручу его в новой мозиле и все будет в ажуре, а хрен там. оказывается выгружать надо было специальным софтом, которого естественно не было, и о котором я ничего не знал. кароче гавномозиллой решил больше никогда не пользоваться. для теста оставил, но теперь туда ни ногой... мозильные программеры-уроды :) делать надо любой продукт казуальным по самые помидоры, чтобы любая домохозяйка могла одним кликом делать что надо, а не читать вагон литературы, перед тем как использовать.
SeregaZ, сеть уже настроил?
p.s: подумать тока ради беса такие жертвы)
да опять переустанавливать походу :) вобщем у меня 2 теории. или он может слать клиенту команду на "отключение", и мой клиент где-то гадит в системе. момент к сожалению не отследил, и после этого клиент не работает.
или я опять своим чит софтом запустил заразу, которая мне подпортила систему. но я всетаки склоняюсь к первому варианту, так как троянов и вирей прошлый раз я так и не нашел. нашел портаху на жестком диске, что кой какие файлы виндовса не удалялись. только форматированием пришлось...
Добавлено через 14 минут
кароче нужен доавторизационный сниффер, чтобы поглядеть что он там отсылает на сервер. возможно какую-то информацию о железе.
потому что при неправильном пароле - пишет что пароль не верный, а при правильном - аксесс фейл.
аксес фейл пишет при подозрении клиента, что его ломают. и в теории - когда ему после авторизации приходит команда "не пускать, так как клиент забанен".
где-то я читал что-то типа про клиентский ID. кто что знает про это? еще можно попытаться сменить имя компьютера и рабочей группы, еще нужно что-то типа файл-монитор, чтобы видеть что и где в реестре читает клиент при запуске, на случай если по команде с сервера мне клиент где-то нагадил.
Добавлено через 1 час 27 минут
я решил что капаю не в том направлении. поэтому скачал какую-то защиту для сервера. установить конечно у меня ума не хватит, но я надеялся найти там подсказку. и вроде бы нашел. в той защите есть три варианта наказания - просто выкидывание, бан по айпи и ban by hwid - видимо этот последний и есть "железный бан". что за hwid и откуда его получает клиент и как я могу его подделать? он определенно связан с windows, так как после переустановки клиент нормально работал, пока я не спровоцировал одного толстого админа меня забанить. замена имени компьютера, изменение разрешения монитора и разрядности цвета, перенос на другой жесткий диск - не помогли :)
vBulletin® v3.6.11, Copyright ©2000-2024, Jelsoft Enterprises Ltd. Перевод: zCarot