一步一步演示网页游戏封包分析和数据修改过程

林大勇

首先，我们知道，修改一个游戏最重要的是修改四点，人物属性、强化、物品复制和金钱。由于网页游戏数据传输的特殊性，修改网页游戏的过程是比较简单的，但是操作起来便比较难。
   现在由我来给大家演示修改一款技术成熟的网页游戏的详细操作和分析过程。
   我们来修改强化等级。
   用360浏览器打开游戏，打开WPE，选择进程为360浏览器，出现了第一个问题，截取不到封包，可能是因为浏览器的进程模式的问题，直接选用IE，这回可以了。
   然后我们截取封包并分析。
   首先我将一件装备强化成功至+4，截取服务器返回的封包为：

00 C7 00 36 B6 00 00 00 02 00 00 00 34 01 00 00 00 00 06 16 7D DE 00 02
07 AA 01 00 00 00 04 00 00 00 01 00 00 00 34 4E 48 7D 60 00 00 00 00 FF
FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF 00 00 00 64 00   
1E 31 36 2C 37 7C 31 33 2C 31 30 30 7C 31 34 2C 31 35 32 7C 31 36 2C 36
7C 31 33 2C 31 30 30 00 00 00 00 00 00 01 82 00 00 00 00 00 00 00 00 00
00 00 00 36 01 00 00 00 00 06 25 5D D8 00 01 A1 FC 01 00 00 00 00 00 00
00 02 00 00 00 36 4E 8E F0 D2 00 00 00 00 FF FF FF FF FF FF FF FF FF FF
FF FF FF FF FF FF FF FF FF FF FF FF FF FF 00 00 00 00 00 00 00 00 00 00
00 00 00 00 00 00 00 00 00 00 17 00 4E 23 00 00 00 00 00 04 4A 1E 00 00
00 00 00 00 00 00 00 00 00 37 00 0C 00 36 BB 01 00 00 00 00 06 16 7D DE

    我们再将它强化至+5，截取服务器返回的封包为：

00 C7 00 36 B6 00 00 00 02 00 00 00 34 01 00 00 00 00 06 16 7D DE 00 02
07 AA 01 00 00 00 05 00 00 00 01 00 00 00 34 4E 48 7D 60 00 00 00 00 FF
FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF 00 00 00 64 00
1E 31 36 2C 37 7C 31 33 2C 31 30 30 7C 31 34 2C 31 35 32 7C 31 36 2C 36
7C 31 33 2C 31 30 30 00 00 00 00 00 00 01 B4 00 00 00 00 00 00 00 00 00
00 00 00 30 01 00 00 00 00 06 13 21 DB 00 01 A1 FD 01 00 00 00 00 00 00
00 1C 00 00 00 30 4E 3F E5 43 00 00 00 00 FF FF FF FF FF FF FF FF FF FF   
FF FF FF FF FF FF FF FF FF FF FF FF FF FF 00 00 00 00 00 00 00 00 00 00
00 00 00 00 00 00 00 00 00 00 17 00 4E 23 00 00 00 00 00 04 08 7E 00 00
00 00 00 00 00 00 00 00 00 37 00 0C 00 36 BB 01 00 00 00 00 06 16 7D DE

   为了分析的准确性，我同样将+6，+7的封包内容截取。在这里不打出，然后将他们复制到WORD里，将相同的字符的用颜色标记。发现几段的内容大致相同，仅有第二行的01 00 00 00 05 00 00 00 01中的数字和少量代码不同，强化4成功的代码是04，强化5成功的封包是05，其他不同的字符可能代表了装备的类型等信息。
   于是我想到了用过滤器，将接收到的封包的强化等级数值替换掉，至少可以实现本地数据的修改，然后找漏洞，将装备的自慰数据与服务器同步。
   这个想法是成功的，果然我将一件装备强化1成功后变成了强化+9，当然确实是自慰数据，一旦移动装备，便会打回原形。
   下面一步就是将自慰数据通过漏洞传到服务器上，通常的办法无非就是交易、寄售、存库。
   比较靠谱的办法有2个，再次强化和游戏的一个功能强化转移。
   但是结果仍然是自慰数据。
   那么我就来按照简单的办法查找漏洞。
   经过分析大量的封包，我发现，所有发出去的封包都是操作指令，接收到的封包都是服务器运算的结果传回了本地。在本地计算机没有任何的本地计算过程，那么我想，通过简单的办法是无法找到游戏的漏洞。
   但是不要灰心，即便没有成功，我们的思路也是修改一个网页游戏的正确思路。没有任何游戏或者是程序是绝对安全的，只是我们没有找到漏洞而已。
   如果您有什么思路或者更好的办法，请回复。大家一起学习。

林秋竹

你这是转帖 还是原创？ 顶一个 呵呵

试过好多了 全是镜像自慰 移动下别的物品 镜像消失。。。

不老耗子

关键是怎么欺骗服务器。

jiaqiang_22

恩 这个要顶下

痛苦天空

这位小盘友，努力了不错

浏览器最好不要用360，因为开360，它会有3个360，要试，麻烦，推荐 世界之窗

关于封包的分析，装备强化1成功后变成了强化+9是行不通了

你可以换个思路，比如，把装备的代码替换，绑定的代码，换不绑，就能通过交易，赠送来交易

kkjlop

楼上的蛮专业的  收徒不  本人新手

扑你街

好东西 值得学习

想奔跑的蜗牛

你为什么改接收的封包呢？我们是要骗服务器，修改发送的封包才对吧，本来你强化+1的，现在你要做一个强化加9的包发给服务器，关键就在怎么让服务器接受你这个数据了。菜鸟咱也是啊

烈焰火

作为一个新人，我发现要看到更有用的帖子，必须权限要高，所以我每看一个帖子，都会顶一下，这样权限就慢慢的高了。

2623051

非常感谢楼主的清晰思路

笑凌峰

楼主的想法很好

士兵

我每天看贴无数,基本上不回贴.
后来发现这样很傻.
很多比我注册晚的人分数都比我多.
于是我就把这段文字保存在记事本里.
每看一贴就复制粘贴一次.
帮LZ把贴子顶上去。顺便挣点分——！

qq303690597

帮LZ把贴子顶上去。顺便挣点分——！

辉神绝爱

有收徒弟的？我QQ1525520225

吴小丹

我每天看贴无数,基本上不回贴.
后来发现这样很傻.
很多比我注册晚的人分数都比我多.
于是我就把这段文字保存在记事本里.
每看一贴就复制粘贴一次.
帮LZ把贴子顶上去。顺便挣点分——！

lx57833836

不错的思路，那天我也试一试~

qq402797423

楼主说的很有道理，谢谢楼主的分享内容

百球成名

求师傅 QQ843545388

黑夜孤独

你这样是不行的，强化之类的用WPE很难改的，我玩的一个网页游戏，发送封包里面只包含装备信息，强化石信息，其他的没有了，这个是服务器验证的，我们根本无法更改的。

刺儿

回帖 好处 多啊！ 我要快速升等级 ！