道。道。道

　　　LIBRARY "wsock32"
　　　EXPORTS
　　　　WSAStartup @1
　　　WSACleanup @2
　　　　recv @3
　　　　send @4
　　　　socket @5
　　　bind @6
　　　closesocket @7
　　　connect @8

　　　......其它輸出函數聲明代碼略。

　　(5)、從“工程”菜單中選擇“設置”，彈出Project Setting對話框，選擇Link標簽，在“對象/庫模塊”中輸入

Ws2_32.lib。

　　(6)、編譯項目，產生wsock32.dll庫文件。

　　(7)、將系統目錄下原wsock32.dll庫文件拷貝到被外掛程序的目錄下，并將其改名為wsock.001；再將上面產生的

wsock32.dll文件同樣拷貝到被外掛程序的目錄下。重新啟動游戲程序，此時游戲程序將先加載我們自己制作的

wsock32.dll文件，再通過該庫文件間接調用原WinSock接口函數來實現訪問網絡。上面我們僅僅介紹了擋載WinSock的實

現過程，至于如何加入外掛控制代碼，還需要外掛開發人員對游戲數據包結構、內容、加密算法等方面的仔細分析（這個

過程將是一個艱辛的過程），再生成外掛控制代碼。關于數據包分析方法和技巧，不是本文講解的范圍，如您感興趣可以

到網上查查相關資料。

(3)、注入外掛代碼進入被掛游戲進程中

　　完成了定位和修改程序中調用API函數代碼后，我們就可以隨意設計自定義的API函數的替代函數了。做完這一切后，

還需要將這些代碼注入到被外掛游戲程序進程內存空間中，不然游戲進程根本不會訪問到替代函數代碼。注入方法有很多

，如利用全局鉤子注入、利用注冊表注入擋截User32庫中的API函數、利用CreateRemoteThread注入（僅限于NT/2000）、

利用BHO注入等。因為我們在動作模擬技術一節已經接觸過全局鉤子，我相信聰明的讀者已經完全掌握了全局鉤子的制作

過程，所以我們在后面的實例中，將繼續利用這個全局鉤子。至于其它幾種注入方法，如果感興趣可參閱MSDN有關內容。

　　有了以上理論基礎，我們下面就開始制作一個擋截MessageBoxA和recv函數的實例，在開發游戲外掛程序 時，可以此

實例為框架，加入相應的替代函數和處理代碼即可。此實例的開發過程如下：

　　(1) 打開前面創建的ActiveKey項目。

　　(2) 在ActiveKey.h文件中加入HOOKAPI結構，此結構用來存儲被擋截API函數名稱、原API函數地址和替代函數地址。

　　　typedef struct tag_HOOKAPI
　　　{
　　　LPCSTR szFunc;//被HOOK的API函數名稱。
　　　PROC pNewProc;//替代函數地址。
　　　PROC pOldProc;//原API函數地址。
　　　}HOOKAPI, *LPHOOKAPI;?

　　(3) 打開ActiveKey.cpp文件，首先加入一個函數，用于定位輸入庫在輸入數據段中的IAT地址。代碼如下：

　　　extern "C" __declspec(dllexport)PIMAGE_IMPORT_DESCRIPTOR
　　　LocationIAT(HMODULE hModule, LPCSTR szImportMod)
　　　//其中，hModule為進程模塊句柄；szImportMod為輸入庫名稱。
　　　{
　　　//檢查是否為DOS程序，如是返回NULL，因DOS程序沒有IAT。
　　　PIMAGE_DOS_HEADER pDOSHeader = (PIMAGE_DOS_HEADER) hModule;
　　　if(pDOSHeader->e_magic != IMAGE_DOS_SIGNATURE) return NULL;
　　　　//檢查是否為NT標志，否則返回NULL。
　　　　PIMAGE_NT_HEADERS pNTHeader = (PIMAGE_NT_HEADERS)((DWORD)pDOSHeader+ (DWORD)(pDOSHeader-

>e_lfanew));
　　　　if(pNTHeader->Signature != IMAGE_NT_SIGNATURE) return NULL;
　　　　//沒有IAT表則返回NULL。
　　　　if(pNTHeader->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress == 0)

return NULL;
　　　　//定位第一個IAT位置。
　　　　PIMAGE_IMPORT_DESCRIPTOR pImportDesc = (PIMAGE_IMPORT_DESCRIPTOR)((DWORD)pDOSHeader + (DWORD)

(pNTHeader->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT].VirtualAddress));
　　　　//根據輸入庫名稱循環檢查所有的IAT，如匹配則返回該IAT地址，否則檢測下一個IAT。
　　　　while (pImportDesc->Name)
　　　　{
　　　　　//獲取該IAT描述的輸入庫名稱。
　　　PSTR szCurrMod = (PSTR)((DWORD)pDOSHeader + (DWORD)(pImportDesc->Name));
　　　if (stricmp(szCurrMod, szImportMod) == 0) break;
　　　pImportDesc++;
　　　　}
　　　　if(pImportDesc->Name == NULL) return NULL;
　　　return pImportDesc;
　　　}

　　再加入一個函數，用來定位被擋截API函數的IAT項并修改其內容為替代函數地址。代碼如下：

　　　extern "C" __declspec(dllexport)
　　　HookAPIByName( HMODULE hModule, LPCSTR szImportMod, LPHOOKAPI pHookApi)
　　　//其中，hModule為進程模塊句柄；szImportMod為輸入庫名稱；pHookAPI為HOOKAPI結構指針。
　　　{
　　　　//定位szImportMod輸入庫在輸入數據段中的IAT地址。
　　　　PIMAGE_IMPORT_DESCRIPTOR pImportDesc = LocationIAT(hModule, szImportMod);
　　if (pImportDesc == NULL) return FALSE;
　　　　//第一個Thunk地址。
　　　　PIMAGE_THUNK_DATA pOrigThunk = (PIMAGE_THUNK_DATA)((DWORD)hModule + (DWORD)(pImportDesc-

>OriginalFirstThunk));
　　 //第一個IAT項的Thunk地址。
　　　　PIMAGE_THUNK_DATA pRealThunk = (PIMAGE_THUNK_DATA)((DWORD)hModule + (DWORD)(pImportDesc-

>FirstThunk));
　　　　//循環查找被截API函數的IAT項，并使用替代函數地址修改其值。
　　　while(pOrigThunk->u1.Function)
{
　//檢測此Thunk是否為IAT項。
if((pOrigThunk->u1.Ordinal & IMAGE_ORDINAL_FLAG) != IMAGE_ORDINAL_FLAG)
{
　 //獲取此IAT項所描述的函數名稱。
　PIMAGE_IMPORT_BY_NAME pByName =(PIMAGE_IMPORT_BY_NAME)((DWORD)hModule+(DWORD)(pOrigThunk-

>u1.AddressOfData));
　if(pByName->Name[0] == '\0') return FALSE;
　　//檢測是否為擋截函數。
if(strcmpi(pHookApi->szFunc, (char*)pByName->Name) == 0)
　 {
　　　　　　　MEMORY_BASIC_INFORMATION mbi_thunk;
　　　　　　　//查詢修改頁的信息。
　　　　　　　VirtualQuery(pRealThunk, &mbi_thunk, sizeof(MEMORY_BASIC_INFORMATION));
//改變修改頁保護屬性為PAGE_READWRITE。
　　　　　　　VirtualProtect(mbi_thunk.BaseAddress,mbi_thunk.RegionSize, PAGE_READWRITE,

&mbi_thunk.Protect);
//保存原來的API函數地址。
　　　 　　if(pHookApi->pOldProc == NULL)
pHookApi->pOldProc = (PROC)pRealThunk->u1.Function;
　 //修改API函數IAT項內容為替代函數地址。
pRealThunk->u1.Function = (PDWORD)pHookApi->pNewProc;
//恢復修改頁保護屬性。
DWORD dwOldProtect;
　　　　　　　VirtualProtect(mbi_thunk.BaseAddress, mbi_thunk.RegionSize, mbi_thunk.Protect,

&dwOldProtect);
　　　　　 }
}
　 pOrigThunk++;
　 pRealThunk++;
}
　　SetLastError(ERROR_SUCCESS); //設置錯誤為ERROR_SUCCESS，表示成功。
　　return TRUE;
　　　}?

　　(4) 定義替代函數，此實例中只給MessageBoxA和recv兩個API進行擋截。代碼如下：

　　　static int WINAPI MessageBoxA1 (HWND hWnd , LPCTSTR lpText, LPCTSTR lpCaption, UINT uType)
　　　{
　　　　//過濾掉原MessageBoxA的正文和標題內容，只顯示如下內容, 。
return MessageBox(hWnd, "Hook API OK!", "Hook API", uType);
　　　}
　　　static int WINAPI recv1(SOCKET s, char FAR *buf, int len, int flags )
　　　{
　　　//此處可以擋截游戲服務器發送來的網絡數據包，可以加入分析和處理數據代碼。
　　　return recv(s,buf,len,flags);
　　　}?

　　(5) 在KeyboardProc函數中加入激活擋截API代碼，在if( wParam == 0X79 )語句中后面加入如下else if語句：

　　　......
　　　//當激活F11鍵時，啟動擋截API函數功能。
　　　else if( wParam == 0x7A )
　　　{
　　　　HOOKAPI api[2];
api[0].szFunc ="MessageBoxA";//設置被擋截函數的名稱。
api[0].pNewProc = (PROC)MessageBoxA1;//設置替代函數的地址。
api[1].szFunc ="recv";//設置被擋截函數的名稱。
api[1].pNewProc = (PROC)recv1; //設置替代函數的地址。
//設置擋截User32.dll庫中的MessageBoxA函數。
HookAPIByName(GetModuleHandle(NULL),"User32.dll",&api[0]);
//設置擋截Wsock32.dll庫中的recv函數。
HookAPIByName(GetModuleHandle(NULL),"Wsock32.dll",&api[1]);
　　　}
　　　......?

　　(6) 在ActiveKey.cpp中加入頭文件聲明 "#include "wsock32.h"。 從“工程”菜單中選擇“設置”，彈出Project

Setting對話框，選擇Link標簽，在“對象/庫模塊”中輸入Ws2_32..lib。

　　(7) 重新編譯ActiveKey項目，產生ActiveKey.dll文件，將其拷貝到Simulate.exe目錄下。運行Simulate.exe并啟動

全局鉤子。激活任意應用程序，按F11鍵后，運行此程序中可能調用MessageBoxA函數的操作，看看信息框是不是有所變化

。同樣，如此程序正在接收網絡數據包，就可以實現封包功能了。

　　六、結束語

　　除了以上介紹的幾種游戲外掛程序常用的技術以外，在一些外掛程序中還使用了游戲數據修改技術、游戲加速技術等

。在這篇文章里，就不逐一介紹了。

網絡游戲外掛核心封包揭密

[文章導讀]
?
網絡游戲的封包技術是大多數編程愛好者都比較關注的關注的問題之一，在這里就讓我們一起研究一下這一個問題吧
　　網絡游戲的封包技術是大多數編程愛好者都比較關注的關注的問題之一，在這里就讓我們一起研究一下這一個問題吧

。

　　別看這是封包這一問題，但是涉及的技術范圍很廣范，實現的方式也很多（比如說APIHOOK,VXD,Winsock2都可以實現

），在這里我們不可能每種技術和方法都涉及，所以我在這里以Winsock2技術作詳細講解，就算作拋磚引玉。

　　由于大多數讀者對封包類編程不是很了解，我在這里就簡單介紹一下相關知識：

　　APIHooK：

　　由于Windows的把內核提供的功能都封裝到API里面，所以大家要實現功能就必須通過API，換句話說就是我們要想捕

獲數據封包，就必須先要得知道并且捕獲這個API，從API里面得到封包信息。

　　VXD：

　　直接通過控制VXD驅動程序來實現封包信息的捕獲，不過VXD只能用于win9X。

　　winsock2：

　　winsock是Windows網絡編程接口，winsock工作在應用層，它提供與底層傳輸協議無關的高層數據傳輸編程接口，

winsock2是winsock2.0提供的服務提供者接口，但只能在win2000下用。

　　好了，我們開始進入winsock2封包式編程吧。

　　在封包編程里面我準備分兩個步驟對大家進行講解：1、封包的捕獲，2、封包的發送。

　　首先我們要實現的是封包的捕獲：

　　Delphi的封裝的winsock是1.0版的，很自然winsock2就用不成。如果要使用winsock2我們要對winsock2在Delphi里面

做一個接口，才可以使用winsock2。

　　1、如何做winsock2的接口？

　　1）我們要先定義winsock2.0所用得到的類型，在這里我們以WSA_DATA類型做示范，大家可以舉一仿三的來實現

winsock2其他類型的封裝。

　　我們要知道WSA_DATA類型會被用于WSAStartup(wVersionRequired: word; var WSData: TWSAData): Integer;，大家

會發現WSData是引用參數，在傳入參數時傳的是變量的地址，所以我們對WSA_DATA做以下封裝：

　　2）我們要從WS2_32.DLL引入winsock2的函數，在此我們也是以WSAStartup為例做函數引入：

　　通過以上方法，我們便可以對winsock2做接口，下面我們就可以用winsock2做封包捕獲了，不過首先要有一塊網卡。

因為涉及到正在運作的網絡游戲安全問題，所以我們在這里以IP數據包為例做封包捕獲，如果下面的某些數據類型您不是

很清楚，請您查閱MSDN：