Lua游戏逆向及破解方法介绍_lua逆向-程序员宅基地
技术标签： 数据安全
背景介绍
随着手游的发展，越来越多的Cocos-lua端游开发者转移到手游平台。Lua脚本编写逻辑的手游也是越来越多，如梦幻西游、刀塔传奇、开心消消乐、游龙英雄、奇迹暖暖、疾风猎人、万万没想到等手游。随着Lua手游的增加，其安全性更值得关注，在此归纳一些常用的分析方法，同时介绍一些辅助工具。
识别Lua游戏
Android平台的apk包可以直接解压，找到./lib目录下的so逻辑模块，一个个分析其so，寻找是否内嵌lua引擎（一般情况下，最大的so最有可能内嵌lua引擎）。如果有libcocos2dlua、libhellolua字样，其内嵌lua引擎的可能性极大。
将可疑so拖入IDA，查看lua引擎字符串，找到如图1所示的lua引擎内字符串，那该手游基本就可以确定是内嵌了一个lua引擎，有极大可能是用lua编写游戏逻辑。
图1. Lua引擎相关字符串
也可以配合留意下解压出来的assets目录下，是否包含脚本信息。这类信息一般是加密的（也有很多安全意识薄弱的是直接lua脚本明文存放的），但有个明显特征是：有多个文件存放。如图2和图3所示，分别是两款非常火热的Lua手游的assets目录下的lua脚本信息。其中D手游仅是对luac进行加密，而M手游则是连名字也弄个哈希加密。
图2. Lua手游asserts下可疑脚本信息案例手游D
图3. Lua手游asserts下可疑脚本信息案例手游M
破解思路
Lua手游的破解主要分成两步，一步是能获取游戏lua脚本；第二步是替换lua脚本。核心是找到lua脚本，然后修改生效。不同安全级别的手游，相应的lua脚本获取时机点会有所不同。（本质是沿着Lua引擎加载lua脚本的整条加载链，如图4所示，去不断分析找到合适时机点dump和替换。）
另一类思路，是辅助工具常用的方法，比如叉叉的lua手游辅助。只需要获取游戏lua脚本信息，然后无需替换，而是直接加载自身的一个lua脚本（该脚本和游戏脚本在同一个命名空间，可直接修改游戏脚本数据，调用函数）。
一、 直接assets资源可获取lua脚本
这类比较初级，在assets目录下可获得lua或者luac源码。
针对lua源码类型，直接修改然后apktool重打包即可。
针对luac源码类型（luac是lua编译的lua字节码文件，包含lua脚本所有信息，具体可搜索lua字节码文件结构），可以使用unluac等开源项目/工具反编译回lua源码。然后修改直接替换回修改后的lua源码文件即可（lua引擎加载脚本的时候，会识别luac magic number判断是lua源码还是luac，直接替换源码下去是不会影响脚本加载执行的）。
二、 在luaL_loadbuffer函数处获取
luaL_loadbuffer是一个走得比较频繁的加载点。Cocos引擎的lua加载器为cocos2dx_lua_loader，如图4所示，最终都是调用luaL_loadbuffer函数来加载。一般厂商会在这层上面对lua脚本进行解密，既是在luaL_loadbuffer函数获取buff参数可得到解密后的lua脚本。修改逻辑后可以直接在这个点替换回去。
图4. cocos2dx_lua_loader函数
三、 更底层的reader函数处获取
lua引擎加载lua脚本最底层是到lua_reader函数。该函数负责最底层的脚本buff遍历，因此在此处dump出来的lua脚本是最纯正的lua脚本，所有加密都已经被去除（修改lua opcode或者引擎逻辑除外）。
不过这个点的获取不到足够的文件信息（文件名、buff index等），需要配合上层函数拼凑lua脚本。
常用工具
一、 IDA工具
可以进行动态调试和静态分析的工具，能在合适的位置下断点，修改指定寄存器和编写IDC脚本配合分析（这里可用来dump luac文件），不多介绍。
二、 ChunkSpy
用于解析lua字节码文件结构，方便luac的学习与阅读。
三、 unluac
Unluac是一个lua反编译器开源项目，可将luac文件反编译为lua代码。针对梦幻西游、刀塔传奇等修改了lua opcode的手游，在静态分析确认还原opcode后，可修改这个项目打包出个对应版本的反编译工具（直接修改OpcodeMap.java里的map，改成对应游戏修改后的Opcode即可）。
常用逻辑修改方法
（1）修改全局变量（全局配置之类的）
（2）update函数的调用逻辑修改（不update或者update多次）
（3）敌人类、主角类、武器类、技能的初始化过程，属性修改
（4）一些过程处理函数的逻辑修改（如伤害计算、命中部位判定等）
实战案例
案例一：修改全局变量（开心消消乐暴分）
在lua_reader函数可直接dump出游戏lua源码，在其/zoo/gamePlay/GamePlayConfig.lua文件中配置了游戏分数奖励等属性，修改如图5 所示为几个特效额外得分即可轻松暴分。
图5. 开心消消乐分数配置表
案例二：多次调用游戏响应函数（刀塔传奇快速战斗）
这里给出叉叉的一个例子。叉叉针对刀塔传奇有相应的辅助，其中快速战斗实现如图6 所示：是通过HOOK了update函数（lua中函数名是指针，备份原先函数指针，直接重写即可实现HOOK），在update函数尾调用10次tick实现。
图6. 叉叉实现快速战斗
案例三：修改函数内部逻辑（开心消消乐增加步数）
在lua_reader函数可直接dump出游戏lua源码，如图7 所示：MoveMode::useMove函数负责处理步数扣除，直接修改为增加10步即可实现步数增加功能。
图7. 开心消消乐步数修改
小结
Lua手游相对来说，还是不够安全的。因为lua引擎不仅是开源的，而且相对python等脚本引擎更简单。外挂作者在lua引擎底层如鱼得水。上面介绍的分析破解思路，就是沿着lua引擎加载脚本的函数链进行分析，找到一个解密后的点dump出脚本，针对脚本进行详细分析，尝试构造攻击点破解版游戏实现外挂功能。
智能推荐
使用nginx解决浏览器跨域问题_nginx不停的xhr-程序员宅基地
文章浏览阅读1k次。通过使用ajax方法跨域请求是浏览器所不允许的，浏览器出于安全考虑是禁止的。警告信息如下：不过jQuery对跨域问题也有解决方案，使用jsonp的方式解决，方法如下：$.ajax({ async:false, url: 'http://www.mysite.com/demo.do', // 跨域URL ty..._nginx不停的xhr
在 Oracle 中配置 extproc 以访问 ST_Geometry-程序员宅基地
文章浏览阅读2k次。关于在 Oracle 中配置 extproc 以访问 ST_Geometry，也就是我们所说的 使用空间SQL 的方法，官方文档链接如下。http://desktop.arcgis.com/zh-cn/arcmap/latest/manage-data/gdbs-in-oracle/configure-oracle-extproc.htm其实简单总结一下，主要就分为以下几个步骤。..._extproc
Linux C++ gbk转为utf-8_linux c++ gbk->utf8-程序员宅基地
文章浏览阅读1.5w次。linux下没有上面的两个函数，需要使用函数 mbstowcs和wcstombsmbstowcs将多字节编码转换为宽字节编码wcstombs将宽字节编码转换为多字节编码这两个函数，转换过程中受到系统编码类型的影响，需要通过设置来设定转换前和转换后的编码类型。通过函数setlocale进行系统编码的设置。linux下输入命名locale -a查看系统支持的编码_linux c++ gbk->utf8
IMP-00009: 导出文件异常结束-程序员宅基地
文章浏览阅读750次。今天准备从生产库向测试库进行数据导入，结果在imp导入的时候遇到“ IMP-00009:导出文件异常结束” 错误，google一下，发现可能有如下原因导致imp的数据太大，没有写buffer和commit两个数据库字符集不同从低版本exp的dmp文件，向高版本imp导出的dmp文件出错传输dmp文件时，文件损坏解决办法：imp时指定..._imp-00009导出文件异常结束
python程序员需要深入掌握的技能_Python用数据说明程序员需要掌握的技能-程序员宅基地
文章浏览阅读143次。当下是一个大数据的时代，各个行业都离不开数据的支持。因此，网络爬虫就应运而生。网络爬虫当下最为火热的是Python，Python开发爬虫相对简单，而且功能库相当完善，力压众多开发语言。本次教程我们爬取前程无忧的招聘信息来分析Python程序员需要掌握那些编程技术。首先在谷歌浏览器打开前程无忧的首页，按F12打开浏览器的开发者工具。浏览器开发者工具是用于捕捉网站的请求信息，通过分析请求信息可以了解请..._初级python程序员能力要求
Spring @Service生成bean名称的规则（当类的名字是以两个或以上的大写字母开头的话，bean的名字会与类名保持一致）_@service beanname-程序员宅基地
文章浏览阅读7.6k次，点赞2次，收藏6次。@Service标注的bean，类名：ABDemoService查看源码后发现，原来是经过一个特殊处理：当类的名字是以两个或以上的大写字母开头的话，bean的名字会与类名保持一致public class AnnotationBeanNameGenerator implements BeanNameGenerator { private static final String C..._@service beanname
随便推点
二叉树的各种创建方法_二叉树的建立-程序员宅基地
文章浏览阅读6.9w次，点赞73次，收藏463次。1.前序创建#include<stdio.h>#include<string.h>#include<stdlib.h>#include<malloc.h>#include<iostream>#include<stack>#include<queue>using namespace std;typed_二叉树的建立
解决asp.net导出excel时中文文件名乱码_asp.net utf8 导出中文字符乱码-程序员宅基地
文章浏览阅读7.1k次。在Asp.net上使用Excel导出功能，如果文件名出现中文，便会以乱码视之。 解决方法： fileName = HttpUtility.UrlEncode(fileName, System.Text.Encoding.UTF8);_asp.net utf8 导出中文字符乱码
笔记-编译原理-实验一-词法分析器设计_对pl/0作以下修改扩充。增加单词-程序员宅基地
文章浏览阅读2.1k次，点赞4次，收藏23次。第一次实验 词法分析实验报告设计思想词法分析的主要任务是根据文法的词汇表以及对应约定的编码进行一定的识别，找出文件中所有的合法的单词，并给出一定的信息作为最后的结果，用于后续语法分析程序的使用；本实验针对 PL/0 语言 的文法、词汇表编写一个词法分析程序，对于每个单词根据词汇表输出： (单词种类, 单词的值) 二元对。词汇表：种别编码单词符号助记符0beginb..._对pl/0作以下修改扩充。增加单词
android adb shell 权限,android adb shell权限被拒绝-程序员宅基地
文章浏览阅读773次。我在使用adb.exe时遇到了麻烦.我想使用与bash相同的adb.exe shell提示符,所以我决定更改默认的bash二进制文件(当然二进制文件是交叉编译的,一切都很完美)更改bash二进制文件遵循以下顺序> adb remount> adb push bash / system / bin /> adb shell> cd / system / bin> chm..._adb shell mv 权限
投影仪-相机标定_相机-投影仪标定-程序员宅基地
文章浏览阅读6.8k次，点赞12次，收藏125次。1. 单目相机标定引言相机标定已经研究多年，标定的算法可以分为基于摄影测量的标定和自标定。其中，应用最为广泛的还是张正友标定法。这是一种简单灵活、高鲁棒性、低成本的相机标定算法。仅需要一台相机和一块平面标定板构建相机标定系统，在标定过程中，相机拍摄多个角度下（至少两个角度，推荐10~20个角度）的标定板图像（相机和标定板都可以移动），即可对相机的内外参数进行标定。下面介绍张氏标定法（以下也这么称呼）的原理。原理相机模型和单应矩阵相机标定，就是对相机的内外参数进行计算的过程，从而得到物体到图像的投影_相机-投影仪标定
Wayland架构、渲染、硬件支持-程序员宅基地
文章浏览阅读2.2k次。文章目录Wayland 架构Wayland 渲染Wayland的 硬件支持简 述： 翻译一篇关于和 wayland 有关的技术文章, 其英文标题为Wayland Architecture .Wayland 架构若是想要更好的理解 Wayland 架构及其与 X (X11 or X Window System) 结构；一种很好的方法是将事件从输入设备就开始跟踪, 查看期间所有的屏幕上出现的变化。这就是我们现在对 X 的理解。 内核是从一个输入设备中获取一个事件，并通过 evdev 输入_wayland