魔兽怀旧是当下相当热门的游戏，下个月即将开放70版本，作为90后的回忆，其热度可想而知

下面 咱们就从外挂和反外挂的角度去分析下这个游戏的数据

尝试血量下断 容易崩溃，用ce搜索蓝量值，通过放技能确定蓝量地址

用xdbg64下访问断点

 

放个技能

 

蓝量断点的位置

48 8B CF E8 B0 08 FE FF 83 F8 FF 74 34 48 63 C8 48 8B 87 88 01 00 00 8B 94 88 E8 00 00 00 EB 24 40 80 FE FE 75 D6 48 8B 81 88 01 00 00

48 8B CF | mov rcx,rdi |

E8 B0 08 FE FF | call wowclassic.7FF7365B6CA0 |

83 F8 FF | cmp eax,FFFFFFFF |

74 34 | je wowclassic.7FF7365D6429 |

48 63 C8 | movsxd rcx,eax |

48 8B 87 88 01 00 00 | mov rax,qword ptr ds:[rdi+188] |

8B 94 88 E8 00 00 00 | mov edx,dword ptr ds:[rax+rcx*4+E8] |

EB 24 | jmp wowclassic.7FF7365D642C |

40 80 FE FE | cmp sil,FE |

75 D6 | jne wowclassic.7FF7365D63E4 |

48 8B 81 88 01 00 00 | mov rax,qword ptr ds:[rcx+188] |

向上找，返回ctir+f9,正常找数据，最终找到

 

公式为此，可以遍历出蓝量红量

00007FF735B20000 模块基址

0x7ff7381b4158基地址

0x7ff7381b4158 - 00007FF735B20000 = 2694158

[[[wowclassic.exe+2694158]+30]+n*8+10] 数组

 

+188]+E8蓝量

+188]+E0红量

+198]+20 x

 

这个游戏是动态模块加载的

一开始我们以为只是个简单的数组，后来发现 少了很多数据，回头仔细分析发现，里面还有个链表

最终公式如下：

[[[[[wowclassic.exe+2694158]+30]+rdx*8]+[[[wowclassic.exe+2694158]+30]+n*8+10]+8]+188]+e8

这个也是魔兽怀旧的核心数据，百分之50的数据结构用的都是这个 数组+链表的循环嵌套

引用微信公众号 微尘游戏逆向