• 1. Einleitung
  
• 2. Ziel
  
• 3. Vorraussetzungen
  
• 4. Theoretische Überlegungen
  
• 4.1 Debuggerchecks
  
• 4.2 Debugger verstecken
  
• 4.3 Xlive.dll vom Laden abhalten
  
• 4.4. Integritychecks der Xlive.dll umgehen
  
• 5. Anwendung
  
• 6. Schlusswort
  

Zitat:If the current process is running in the context of a debugger, the return value is nonzero.
If the current process is not running in the context of a debugger, the return value is zero.

8B EC 83 EC 20 53 56 57 8D 45 E0 33 F6 50 FF 75 0C 8B F9

Wenn wir dieser folgen, sollten wir zu dem Anfang der Routine kommen, welche etwa so aussehen sollte.

68A3EF52   /$  8BFF                     MOV EDI,EDI
68A3EF54   |.  55                       PUSH EBP
68A3EF55   |.  8BEC                     MOV EBP,ESP
68A3EF57   |.  83EC 20                  SUB ESP,20
68A3EF5A   |.  53                       PUSH EBX
68A3EF5B   |.  56                       PUSH ESI
68A3EF5C   |.  57                       PUSH EDI
68A3EF5D   |.  8D45 E0                  LEA EAX,[LOCAL.8]

Jetzt einfach am Anfang die Befehle „mov edi, edi“ und „push ebp“ mit „retn 0c“ überschreiben, sodass wir einfach direkt nach dem Betreten der Routine wieder herausspringen, sodass nichts gecheckt wird. Damit sollten eure CodeInjections unerkannt bleiben.

5. Anwendung
Soweit so gut. Nun zum praktischen Teil des Tutorials. Ich werde hier eine CodeInjection in dem Spiel „Alarm für Cobra 11 – Das Syndikat“ durchführen und euch somit zeigen wie ihr die XLive.dll aushebelt.
Zunächst starten wir das Spiel und haben die nötigen Vorbereitungen getroffen, dass die Xlive.dll unseren Debugger (den wir zwangsläufig attachen müssen) nicht erkennt (ich habe die dritte von mir beschriebene Methode benutzt).
Wir starten das Spiel und öffnen den Prozess des Spiels in der Cheatengine(bei mir CrashTime4Hi.exe). Startet ein Einzelspieler Spiel.
Wir wollen nach der Adresse für den Boost suchen, also wählt als Datentyp Float und sucht zunächst bei vollem Boost nach dem exakten Wert 1.
Wir bekommen ein paar Millionen Ergebnisse, welche uns aber nicht weiter stören sollen. Boostet ein wenig und sucht dann nach „decreased value“. Wartet bis sich euer boost ein wenig aufgeladen hat und sucht nach „increased value“. Wiederholt das ganze solange, bis ihr nur noch zwei Adressen gefunden habt. Diese sollten den gleich Wert besitzen. Eine von beiden ist grün, also eine statische Adresse, und die andere ist schwarz.

Doppelklick auf die grüne Adresse und sie landet unten im Adressenfenster der Cheatengine. Nun rechtsklick auf die Adresse und „Find out what accesses this address“. Ein bisschen mit dem Boost durch die Gegend fahren, und wir sollten schon so allerhand Opcodes gefunden haben. Ich habe meine CodeInjection an dieser Stelle angesetzt :

0048934E - f3 0f 5c c2                - subss xmm0,xmm2

Sie sieht folgendermaßen aus:

Jump zur Cave
mov [esi+000031a8],3f800000
subss xmm0,xmm2
mulss xmm0,[esi+00001688]
Jump zum Originalcode.

Aber das ist nur mein Beispielcode.

Damit diese, von uns vorgenommene, Modifikation nun nicht erkannt wird müssen wir noch die Xlive.dll bearbeiten. Dazu einfach die Bytesequenz suchen und aus der VA und der BaseAddress des Moduls (also in dem Falle die Xlive.dll) das Offset berechnen. Es ist BEF52. Also einfach in dem MemoryViewer der Cheatengine zur Adresse xlive.dll+BEF52 gehen und dort die ersten beiden Befehle durch „ret 0c“ ersetzen. Nun sollte das Spiel wie gewohnt weiterlaufen und ihr habt unbegrenzt Boost zur Verfügung.

6. Schlusswort
Zunächst einmal Glückwunsch an jeden der bis hierhin gelesen hat. Wer ein supercooles Tutorial mit vielen Bildchen und Schritt für Schritt Anleitung gesucht hat, wurde natürlich enttäuscht, doch ein bisschen Eigeninitiative ist doch wohl nicht zu viel verlangt oder?! Wer weiterhin Probleme mit der Xlive.dll hat, kann natürlich gerne seine Fragen stellen und ich werde sie nach bestem Gewissen beantworten.

Ich grüße insbesondere (Reihenfolge ist zufällig) :
- Maluc
- sILeNt heLLsCrEAm
- fr33k
- DNA
- Psych
- Dr.olle
- Homeofgamehacking.de

Acubra