Радар своими руками

[Demion]

Может быть проблема в том, что у SendPacket соглашение вызова cdecl, а у AddNetworkQueue thiscall? Как понять "не пойму как их там отлавливать". В AddNQ передается указатель на структуру NetworkPacket (ид, субид, размер, данные пакета).

[tiranosaur]

у меня по esp -4 в дампе адрес какой то

Добавлено через 6 минут
а по нему хз что(

Добавлено через 1 минуту
отлавливать могу хуком в иат сплайсом эпилога функции. да как угодно. я на асме пишу

Добавлено через 1 минуту
мне понять бы что тама и как( вот в сенде все понятно. параметры через стек идут и все норм.

[Aries]

Тут как бы по факту для тебя один параметр в стеке. Это указатель на структуру вида:
struct NetworkPacket
{
unsigned char id;
unsigned char res;
short id2;
unsigned int size;
unsigned char* data;
}

[tiranosaur]

Блин уже крыша едет((( вот я остановился на push ebx в AddNetworkQueue.
вот я перехожу в дамп по значению esp-4
вот значения в дампе.
(esp-4) 06481BC0
01 1B FF FF 1C 00 00 00 60 D8 2E 14 B4 1B 48 06
06481BD0
01 00 00 00 A0 D8 2E 14 A8 1B 48 06 01 00 00 00


пожалейте убогого, объясните где что(

[Morfik]

tiranosaur, http://coderx.ru/showpost.php?p=50250&postcount=36 эта же тема, сам когда то делал перехват с поста ксора

[tiranosaur]

Morfik, спасибо, но это описание как перехватить а меня структура NetworkPacket интересует. я ничего не понял в ней.
объясните на примере пжл.
вот мое esp-4 (0EB2F5B8 ) при остановке на AddNetworkQueue

вот данные стека.

0EB2F598 01 00 00 00 50 00 00 00 88 F5 B2 0E 01 00 00 00
0EB2F5A8 50 00 00 00 94 F5 B2 0E 01 00 00 00 E0 04 5B 15
0EB2F5B8 01 F5 FF FF 1C 00 00 00 C0 8C 5B 15 D0 F5 B2 0E
0EB2F5C8 01 00 00 00 ED 00 00 00 DC F5 B2 0E 01 00 00 00
0EB2F5D8 00 00 00 00 E8 F5 B2 0E 01 00 00 00 00 00 00 00

где что здесь.

[Aries]

Уточнение: не данные стека, а все-таки наверно данные по адресу из стека?)

И так на примере структуры что я написал (если тут корректные данные), и если я конечно ничего не путаю:

unsigned char id = 01
unsigned char res = F5
short id2 = FF FF
unsigned int size = 1C 00 00 00
unsigned char* data = C0 8C 5B 15

могу предположить, что данные правильные, вроде похоже.
Только не забывай об обратном порядке байтов, когда будешь разбирать данные, т.е. например размер пакета будет такой 00 00 00 1С.

А дальше по адресу в data лежат непосредственно данные пакета.

[tiranosaur]

Aries,
unsigned char id = 01 - это id пакета?
unsigned char res = F5-а что это?
short id2 = FF FF-а что это?
unsigned int size = 1C 00 00 00- это размер
unsigned char* data = C0 8C 5B 15- это данные

[mira]

1-ид
2-мусор
3-расширение ид. Используетса для некоторых типов пакетов как правило начинающихся на Ex.... Тоесть id у них один а различаетса id2. Для большинства пакетов поле не используетса и равно ff.
Пример 2значного ид вроде пакеты группы id=d0

[tiranosaur]

Спс всем. дай вам наш Ботоводский Бог спокойного фарма.

Добавлено через 1 минуту
И пусть ботхантеры вас обойдут стороной