Аналіз коду: асемблер, налагоджувач, патчинг

Асемблер для реверсу: регістри, mov, sub, cmp, jmp

Сканер пам'яті знаходить дані, але відповісти на питання «хто зменшує здоров'я?» може лише код. Код у виконуваному файлі — це машинні команди, а дизасемблер показує їх як асемблер. Читати його потрібно мінімум, щоб знайти потрібну інструкцію.

Рядок C++ і його асемблер

У грі-мішені удар виконується рядком:

p.health -= 15;

Компілятор, зібраний для x86-64 без оптимізацій, перетворює його на чотири інструкції:

mov rax, qword ptr [rbp - 0x58]   ; rax = адреса локальної змінної p (Player*)
mov ecx, dword ptr [rax + 0x10]   ; ecx = p->health  (зміщення 0x10 = 16)
sub ecx, 0xf                      ; ecx -= 15
mov dword ptr [rax + 0x10], ecx   ; p->health = ecx

Це реальний вивід clang -arch x86_64 -O0 + objdump -d -M intel для main.cpp. Конструкція [rax + 0x10] — це «пам'ять за адресою rax плюс 16». Саме тут проявляється структура з розділу «Структури в пам'яті»: rax містить базу гравця, 0x10 — зміщення health.

Регістри

dword ptr означає розмір 4 байти, qword ptr — 8 байтів, byte ptr — 1 байт. Розмір визначає тип поля: dword — int, qword — вказівник.

Інструкції, які трапляються найчастіше

Умовний перехід на прикладі

Рядок if (p.health < 0) p.health = 0; у тому ж виводі має вигляд:

cmp dword ptr [rax + 0x10], 0x0   ; порівняти health з 0
jge 0x265                         ; якщо health >= 0, перейти далі
mov rax, qword ptr [rbp - 0x58]
mov dword ptr [rax + 0x10], 0x0   ; health = 0

Умова в C++ — «менше нуля», а перехід у коді — «більше або дорівнює»: компілятор інвертує умову, бо перехід оминає блок.

Як отримати дизасемблер

clang++ -arch x86_64 -c -O0 main.cpp -o main.o     # на Linux: g++ -c -O0 -o main.o
objdump -d -M intel main.o | less

mov eax, dword ptr [rcx + 0x20]
dec eax
mov dword ptr [rcx + 0x20], eax

Налагоджувач: хто змінює здоров'я

Зовнішній тренер перезаписує значення, але гра все одно його змінює: ми лише випереджаємо її кожні 50 мс. Щоб змінити саму логіку («удар не знімає здоров'я»), потрібно знайти інструкцію, що виконує віднімання. Для цього налагоджувач зупиняє гру в момент запису за відомою адресою.

Як це працює

Процесор має спеціальні регістри налагодження: до чотирьох адрес, звернення до яких зупиняє виконання. Це апаратна підтримка, тому гра працює без уповільнення, а зупинка настає рівно на інструкції, що виконала запис. Налагоджувач показує її адресу, регістри і дизасемблер навколо.

Покроково на грі-мішені

Команди

lldb
(lldb) process attach --pid 66038
(lldb) watchpoint set expression -w write -s 4 -- 0x104e89a80
(lldb) continue
# у грі: d
(lldb) disassemble -p -c 8        # інструкція, на якій зупинилися
(lldb) register read              # регістри

gdb -p $(pgrep target_game)
(gdb) watch *(int*)0x555555a80
(gdb) continue
# у грі: d
(gdb) x/8i $pc-12
(gdb) info registers

Що вчитися бачити

На x86-64 із розділу «Асемблер для реверсу» запис виглядає так:

mov ecx, dword ptr [rax + 0x10]
sub ecx, 0xf                       ; ця інструкція знімає 15 здоров'я
mov dword ptr [rax + 0x10], ecx    ; на цій watchpoint зупиниться

Watchpoint зупиняється після запису, тому rip вказує на наступну інструкцію. Інструкція запису — на один рядок вище.

Корисні питання до знайденої інструкції:

• Скільки різних місць у коді пишуть у цю адресу? Одне — це спільна функція «отримати шкоду», кілька — окремі випадки.
• Чи ця сама інструкція пише і гравцеві, і ворогам? Якщо так, зміна коду вплине на всіх (розділ «Патчинг коду»).
• Що лежить у регістрі бази (rax)? Це поточна структура: гравець чи ворог.

Патчинг коду: NOP, зміна переходів і безсмертя без циклу запису

Режим god у тренері змагається з грою: вона зменшує, ми повертаємо. Патч прибирає саму причину: інструкція, що зменшує здоров'я, перестає виконуватися.

Три способи змінити поведінку

Для sub ecx, 0xf машинний код — 83 E9 0F (три байти). Замінимо їх на 90 90 90. Довжина має збігатися: якщо записати менше байтів, залишок зіпсує наступну інструкцію, а якщо більше — затре сусідню.

Крок за кроком

Запис у сторінки коду

Код живе в сторінках з правом виконання, але без запису. Перед записом права потрібно змінити.

DWORD old;
VirtualProtectEx(h, (LPVOID)addr, n, PAGE_EXECUTE_READWRITE, &old);
WriteProcessMemory(h, (LPVOID)addr, bytes, n, nullptr);
VirtualProtectEx(h, (LPVOID)addr, n, old, &old);

// process_vm_writev не пише в сторінки без права запису.
// Для патчу код пишуть через /proc/<pid>/mem (відкритий для запису від того ж користувача/ root)
int fd = open("/proc/PID/mem", O_RDWR);
pwrite(fd, bytes, n, addr);

mach_vm_protect(task, addr, n, FALSE, VM_PROT_READ | VM_PROT_WRITE | VM_PROT_COPY);
mach_vm_write(task, addr, (vm_offset_t)bytes, n);
mach_vm_protect(task, addr, n, FALSE, VM_PROT_READ | VM_PROT_EXECUTE);

У репозиторії Process::write для Windows і macOS уже виконує зміну прав. На Linux використовуйте /proc/<pid>/mem.

Недоліки патча

• Патч діє на всіх, хто виконує цей код: якщо та сама інструкція зменшує здоров'я ворогам, вони теж стануть безсмертними. Рішення: умовний перехід — «якщо база дорівнює гравцеві, пропустити віднімання». Це потребує code cave — вільного місця для власного коду, і розглянуто в internal-варіанті (розділ «Internal-чіт»).
• Оновлення гри змінює адресу і байти. Тому тренери шукають код за шаблоном байтів (signature scan): 83 E9 ?? 89 48 10, де ?? — довільний байт.
• Самоперевірка цілісності гри виявить зміну.