关于Win7扫雷逆向分析及外挂编写

元始天尊

1. Win7扫雷把玩手记
   
2. 我系统Win8.1，直接把Win7 MineSweeper那个文件夹弄过来，，是无法运行扫雷的。
   
3. 由于是系统组件，ida载入可以得到符号，先研究为何无法运行！
   
4. 从用户入口WinMain开始跟：
   
5. int __stdcall WinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPSTR lpCmdLine, int nShowCmd)
   
6. {
   
7.   DWORD v4; // ecx@1
   
8.   int result; // eax@2
   
9.   HMODULE v6; // eax@3
   
10.   void *v7; // eax@6
    
11.   void *v8; // esi@7
    
12.   WCHAR Buffer; // [sp+4h] [bp-24h]@3
    
13.   char v10; // [sp+6h] [bp-22h]@3
    
14.   __int16 v11; // [sp+22h] [bp-6h]@3
    
15. 
    
16.   HeapSetInformation(0, HeapEnableTerminationOnCorruption, 0, 0);
    
17.   if ( IsGamePlayable(v4, L"Shell-InBoxGames-Minesweeper-EnableGame") )
    
18.   {
    
19.     g_hInstance = hInstance;
    
20.     Buffer = 0;
    
21.     memset(&v10, 0, 0x1Cu);
    
22.     v11 = 0;
    
23.     v6 = GetModuleHandleW(0);
    
24.     if ( LoadStringW(v6, 0xFBCu, &Buffer, 16) && !lstrcmpW(&Buffer, L"0") )
    
25.       g_Flowerbed = 1;
    
26.     v7 = operator new(4u);
    
27.     if ( v7 )
    
28.     {
    
29.       *(_DWORD *)v7 = EngineHandler::`vftable';
    
30.       v8 = v7;
    
31.     }
    
32.     else
    
33.     {
    
34.       v8 = 0;
    
35.     }
    
36.     RegisterLogNameResolver((const unsigned __int16 *(__stdcall *)(unsigned int))MsLog::MsLogResolver);
    
37.     if ( InitializeEngine((struct IEngineInterface *)v8, 0) )
    
38.     {
    
39.       if ( v8 )
    
40.         IEngineInterface::`scalar deleting destructor'(v8, 1);
    
41.       result = 0;
    
42.     }
    
43.     else
    
44.     {
    
45.       if ( v8 )
    
46.         IEngineInterface::`scalar deleting destructor'(v8, 1);
    
47.       result = 1;
    
48.     }
    
49.   }
    
50.   else
    
51.   {
    
52.     result = 1;
    
53.   }
    
54.   return result;
    
55. }
    
56. 
    
57. 发现IsGamePlayable处返回失败，在此需要将返回值改为TRUE，接着调试，发现InitializeEngine执行后直接进程结束，因此跟入该函数：
    
58. bool __stdcall InitializeEngine(struct IEngineInterface *a1, struct IControllerInterface *a2)
    
59. {
    
60.   DialogHelper *v2; // eax@1
    
61.   DWORD v3; // ST20_4@1
    
62.   int v4; // eax@1
    
63.   int v5; // ecx@1
    
64.   __int16 v6; // dx@2
    
65.   rsize_t v7; // ebx@3
    
66.   wchar_t *v8; // eax@3
    
67.   const wchar_t *v10; // eax@5
    
68.   HANDLE v11; // ebx@5
    
69.   wchar_t *v12; // eax@8
    
70.   const WCHAR *v13; // esi@8
    
71.   HWND v14; // ebx@8
    
72.   const WCHAR *v15; // eax@12
    
73.   LPWSTR *v16; // eax@12
    
74.   unsigned int v17; // ecx@12
    
75.   const WCHAR *v18; // eax@16
    
76.   const unsigned __int16 *v19; // eax@18
    
77.   unsigned __int16 *v20; // eax@19
    
78.   void *v21; // eax@28
    
79.   wchar_t *v22; // eax@31
    
80.   DWORD v23; // eax@31
    
81.   int i; // ecx@31
    
82.   WCHAR v25; // dx@32
    
83.   void *v26; // eax@38
    
84.   XmlManager *v27; // eax@39
    
85.   ResourceBase *v28; // ecx@41
    
86.   ResourceWMA *v29; // ecx@41
    
87.   DllFileMgr *v30; // eax@45
    
88.   wchar_t *v31; // eax@47
    
89.   bool v32; // al@47
    
90.   wchar_t *v33; // esi@48
    
91.   int (**v34)(void); // eax@48
    
92.   int v35; // eax@48
    
93.   DWORD v36; // eax@54
    
94.   void *v37; // eax@57
    
95.   ResourceManager *v38; // eax@58
    
96.   void *v39; // eax@64
    
97.   RenderManager *v40; // eax@65
    
98.   void *v41; // eax@69
    
99.   Audio *v42; // eax@70
    
100.   CommonControllerThread *v43; // eax@75
     
101.   void *v44; // eax@77
     
102.   ResourceWMA *v45; // eax@78
     
103.   XmlNode *v46; // eax@82
     
104.   unsigned __int16 *v47; // edi@84
     
105.   struct IEngineInterface *v48; // edi@90
     
106.   DWORD v49; // ST20_4@96
     
107.   HMODULE v50; // eax@96
     
108.   bool nSize; // [sp+14h] [bp-6ACh]@0
     
109.   const unsigned __int16 *v52; // [sp+18h] [bp-6A8h]@0
     
110.   void (__stdcall *v53)(); // [sp+18h] [bp-6A8h]@55
     
111.   char v54; // [sp+24h] [bp-69Ch]@48
     
112.   struct tagMSG Msg; // [sp+30h] [bp-690h]@98
     
113.   int v56; // [sp+4Ch] [bp-674h]@44
     
114.   int v57; // [sp+50h] [bp-670h]@44
     
115.   int v58; // [sp+54h] [bp-66Ch]@44
     
116.   int v59; // [sp+58h] [bp-668h]@44
     
117.   void (__stdcall *v60)(unsigned __int32 *); // [sp+5Ch] [bp-664h]@44
     
118.   void (__stdcall *v61)(unsigned __int32); // [sp+60h] [bp-660h]@104
     
119.   int v62; // [sp+64h] [bp-65Ch]@44
     
120.   int v63; // [sp+68h] [bp-658h]@44
     
121.   HWND v64; // [sp+6Ch] [bp-654h]@62
     
122.   int v65; // [sp+70h] [bp-650h]@62
     
123.   int v66; // [sp+74h] [bp-64Ch]@62
     
124.   int v67; // [sp+78h] [bp-648h]@62
     
125.   int v68; // [sp+7Ch] [bp-644h]@62
     
126.   RAWINPUTDEVICE pRawInputDevices; // [sp+80h] [bp-640h]@47
     
127.   int pNumArgs; // [sp+8Ch] [bp-634h]@12
     
128.   struct IEngineInterface *v71; // [sp+90h] [bp-630h]@1
     
129.   XmlNode *v72; // [sp+94h] [bp-62Ch]@1
     
130.   unsigned int v73; // [sp+98h] [bp-628h]@12
     
131.   void *pv; // [sp+9Ch] [bp-624h]@12
     
132.   wchar_t *Dst; // [sp+A0h] [bp-620h]@3
     
133.   bool v76; // [sp+A7h] [bp-619h]@16
     
134.   OLECHAR psz; // [sp+A8h] [bp-618h]@17
     
135.   WCHAR Filename[518]; // [sp+2B0h] [bp-410h]@31
     
136.   int v79; // [sp+6BCh] [bp-4h]@16
     
137. 
     
138.   v71 = a1;
     
139.   v72 = a2;
     
140.   v2 = (DialogHelper *)GetModuleHandleW(0);
     
141.   DialogHelper::Init(v2, 0, 0, nSize);
     
142.   v4 = (*(int (__thiscall **)(struct IEngineInterface *, DWORD))(*(_DWORD *)a1 + 16))(a1, v3);//EngineHandler::GetProjectName
     
143.   v5 = v4 + 2;
     
144.   do
     
145.   {
     
146.     v6 = *(_WORD *)v4;
     
147.     v4 += 2;
     
148.   }
     
149.   while ( v6 );
     
150.   v7 = ((v4 - v5) >> 1) + 24;
     
151.   v8 = (wchar_t *)operator new[](2 * v7);
     
152.   Dst = v8;
     
153.   if ( v8 )
     
154.   {
     
155.     wcscpy_s(v8, v7, L"Local\\Oberon_");
     
156.     v10 = (const wchar_t *)(*(int (__thiscall **)(struct IEngineInterface *))(*(_DWORD *)a1 + 16))(a1);//EngineHandler::GetProjectName
     
157.     wcscat_s(Dst, v7, v10);
     
158.     wcscat_s(Dst, v7, L"_Singleton");
     
159.     v11 = CreateMutexW(0, 1, Dst);
     
160.     operator delete(Dst);
     
161.     if ( v11 )
     
162.     {
     
163.       if ( GetLastError() != 183 )
     
164.       {
     
165.         v15 = GetCommandLineW();
     
166.         pNumArgs = 0;
     
167.         v16 = CommandLineToArgvW(v15, &pNumArgs);
     
168.         v17 = 1;
     
169.         pv = v16;
     
170.         v73 = 1;
     
171.         if ( pNumArgs > 1 )
     
172.         {
     
173.           do
     
174.           {
     
175.             if ( !wcscmp(*((const unsigned __int16 **)pv + v17), L"-mce") )
     
176.               g_bMediaCenter = 1;
     
177.             v17 = v73++ + 1;
     
178.           }
     
179.           while ( (signed int)v73 < pNumArgs );
     
180.         }
     
181.         v18 = GetCommandLineW();
     
182.         RegisterApplicationRestart(v18, 0);
     
183.         CoInitialize(0);
     
184.         v76 = 0;
     
185.         Dst = 0;
     
186.         v79 = 0;
     
187.         if ( CoCreateInstance(
     
188.                &_GUID_9a5ea990_3034_4d6f_9128_01f3c61022bc,
     
189.                0,
     
190.                1u,
     
191.                &_GUID_e7b2fb72_d728_49b3_a5f2_18ebf5f1349e,
     
192.                (LPVOID *)&Dst) >= 0
     
193.           && SHGetFolderPathEx(&FOLDERID_ProgramFiles, 0, 0, &psz, 260) >= 0 )
     
194.         {
     
195.           v19 = (const unsigned __int16 *)(*(int (__thiscall **)(struct IEngineInterface *))(*(_DWORD *)a1 + 84))(a1);//EngineHandler::GetGdfPath
     
196.           if ( StringCchCatW(&psz, 0x104u, v19) >= 0 )
     
197.           {
     
198.             v20 = SysAllocString(&psz);
     
199.             g_bstrGDFPath = v20;
     
200.             if ( v20 )
     
201.             {
     
202.               if ( SysStringLen(v20)
     
203.                 && (*(int (__stdcall **)(wchar_t *, unsigned __int16 *, void **))(*(_DWORD *)Dst + 24))(//CGameExplorer::VerifyAccess
     
204.                      Dst,
     
205.                      g_bstrGDFPath,
     
206.                      &pv) >= 0
     
207.                 && pv )
     
208.                 v76 = 1;
     
209.             }
     
210.           }
     
211.         }
     
212.         v79 = -1;
     
213.         if ( Dst )
     
214.           (*(void (__stdcall **)(wchar_t *))(*(_DWORD *)Dst + 8))(Dst);
     
215.         if ( !v76 )
     
216.           CleanupEngine(5);
     
217.         v21 = operator new(4u);
     
218.         if ( v21 )
     
219.         {
     
220.           *(_DWORD *)v21 = 0;
     
221.           g_pSecondTimerCallback = v21;
     
222.         }
     
223.         else
     
224.         {
     
225.           g_pSecondTimerCallback = 0;
     
226.         }
     
227.         _set_new_handler(HandleNewFail);
     
228.         _set_new_mode(1);
     
229.         g_pInterface = (void *)a1;
     
230.         v22 = (wchar_t *)(*(int (__thiscall **)(struct IEngineInterface *))(*(_DWORD *)a1 + 16))(a1);
     
231.         g_wszProjectName = LocalizeMessage(v22);
     
232.         v23 = GetModuleFileNameW(0, Filename, 0x200u);
     
233.         for ( i = v23 - 1; ; --i )
     
234.         {
     
235.           if ( i > v23 )
     
236.             goto LABEL_38;
     
237.           v25 = Filename[i];
     
238.           if ( v25 == 47 || v25 == 92 )
     
239.             break;
     
240.         }
     
241.         Filename[i] = 0;
     
242. LABEL_38:
     
243.         SetCurrentDirectoryW(Filename);
     
244.         XmlNode::SetNodeName((XmlNode *)&ErrorXml, L"ErrorLog");
     
245.         v26 = operator new(0x10u);
     
246.         pv = v26;
     
247.         v79 = 1;
     
248.         if ( v26 )
     
249.           v27 = (XmlManager *)XmlManager::XmlManager((XmlManager *)v26);
     
250.         else
     
251.           v27 = 0;
     
252.         v79 = -1;
     
253.         g_pXmlManager = v27;
     
254.         CheckAllocation((const void *)v27);
     
255.         ResourceBase::SetNameForDPI(v28, (bool)g_wszProjectName);
     
256.         Log(0x10u, 1129, "Engine.cpp", L"Initializing Virtual FS");
     
257.         if ( ResourceWMA::LoadAsNeeded(v29) )
     
258.         {
     
259.           Log(0x10u, 1138, "Engine.cpp", L"Project name localized to: %s", g_wszProjectName);
     
260.           OutputDebugStringW(Filename);
     
261.           Log(0x10u, 1142, "Engine.cpp", L"Using working directory: %s", Filename);
     
262.           Log(0x10u, 1146, "Engine.cpp", L"Initializing GDI+");
     
263.           v56 = 1;
     
264.           v58 = 1;
     
265.           v57 = 0;
     
266.           v59 = 0;
     
267.           GdiplusStartup(&g_GdiPlusToken, &v56, &v60);
     
268.           v63 = 0;
     
269.           v62 = 0;
     
270.           LoadWindowPrefs(&v63, &v62);
     
271.           pv = operator new(0x1440u);
     
272.           v79 = 2;
     
273.           if ( pv )
     
274.             v30 = (DllFileMgr *)DllFileMgr::DllFileMgr(0);
     
275.           else
     
276.             v30 = 0;
     
277.           v79 = -1;
     
278.           ::pv = v30;
     
279.           v31 = (wchar_t *)(**(int (***)(void))v71)();
     
280.           Str::Str(v31);
     
281.           v79 = 3;
     
282.           v32 = DllFileMgr::Open(::pv, (const struct Str *)&pRawInputDevices, g_bDebugEnabled, L"input\");
     
283.           v79 = -1;
     
284.           v76 = v32 == 0;
     
285.           Str::~Str((Str *)&pRawInputDevices);
     
286.           if ( v76 )
     
287.           {
     
288.             D3DXTex::TF_Row::TF_Row((D3DXTex::TF_Row *)&pRawInputDevices);
     
289.             v79 = 4;
     
290.             v33 = *(wchar_t **)(Str::Str(0x37Cu) + 8);
     
291.             v34 = *(int (***)(void))v71;
     
292.             LOBYTE(v79) = 5;
     
293.             v35 = (*v34)();
     
294.             Str::Format((Str *)&pRawInputDevices, v33, v35);
     
295.             LOBYTE(v79) = 4;
     
296.             Str::~Str((Str *)&v54);
     
297.             DialogHelper::ShowMessageBox(
     
298.               0x385u,
     
299.               0,
     
300.               1u,
     
301.               0xFFFEu,
     
302.               0,
     
303.               (const unsigned __int16 *)pRawInputDevices.hwndTarget,
     
304.               (const unsigned __int16 *)1,
     
305.               (bool)v52);
     
306.           }
     
307.           else if ( CreateGameWindow() )
     
308.           {
     
309.             if ( g_bMediaCenter )
     
310.             {
     
311.               Log(0x10u, 1211, "Engine.cpp", L"Initializing MCE Dialog");
     
312.               DialogHelper::InitMCE(0, v52);
     
313.               if ( g_bMediaCenter )
     
314.               {
     
315.                 Log(0x10u, 1220, "Engine.cpp", L"Registering for raw input, for remote control");
     
316.                 pRawInputDevices.usUsagePage = 12;
     
317.                 pRawInputDevices.usUsage = 1;
     
318.                 pRawInputDevices.hwndTarget = g_hWnd;
     
319.                 pRawInputDevices.dwFlags = 0;
     
320.                 if ( !RegisterRawInputDevices(&pRawInputDevices, 1u, 0xCu) )
     
321.                 {
     
322.                   v36 = GetLastError();
     
323.                   Log(0x10u, 1231, "Engine.cpp", L"Register failed, winerror %d", v36);
     
324.                 }
     
325.               }
     
326.             }
     
327.             Log(0x10u, 1237, "Engine.cpp", L"Adding system events");
     
328.             Event::RegisterEventType(2, Event_MouseEnter::Create);
     
329.             Event::RegisterEventType(4, Event_MouseDown::Create);
     
330.             Event::RegisterEventType(5, Event_MouseDoubleClick::Create);
     
331.             Event::RegisterEventType(3, Event_MouseLeave::Create);
     
332.             Event::RegisterEventType(6, Event_MouseRelease::Create);
     
333.             Event::RegisterEventType(7, Event_MouseReleaseOut::Create);
     
334.             Event::RegisterEventType(8, Event_MouseStatusBarClick::Create);
     
335.             Event::RegisterEventType(9, Event_MouseOuterDown::Create);
     
336.             Event::RegisterEventType(10, Event_MouseOuterRelease::Create);
     
337.             Event::RegisterEventType(11, Event_MouseGlobalRelease::Create);
     
338.             Event::RegisterEventType(1, Event_ButtonClick::Create);
     
339.             Event::RegisterEventType(13, Event_AnimationComplete::Create);
     
340.             Event::RegisterEventType(12, Event_AnimationFrame::Create);
     
341.             Event::RegisterEventType(14, Event_AnimationInt::Create);
     
342.             Event::RegisterEventType(15, Event_Timer::Create);
     
343.             Event::RegisterEventType(16, Event_FocusCheck::Create);
     
344.             Event::RegisterEventType(17, Event_FocusGot::Create);
     
345.             Event::RegisterEventType(18, Event_FocusLost::Create);
     
346.             Event::RegisterEventType(19, Event_FocusSelect::Create);
     
347.             Event::RegisterEventType(20, Event_FocusUnSelect::Create);
     
348.             Event::RegisterEventType(21, Event_FocusGetNodeAtDir::Create);
     
349.             Event::RegisterEventType(22, Event_FocusGetNextTabNode::Create);
     
350.             Event::RegisterEventType(23, Event_InitComplete::Create);
     
351.             Event::RegisterEventType(24, Event_DoDefaultAction::Create);
     
352.             Event::RegisterEventType(25, Event_DragCheck::Create);
     
353.             Event::RegisterEventType(26, Event_DragStart::Create);
     
354.             Event::RegisterEventType(27, Event_DragMove::Create);
     
355.             Event::RegisterEventType(28, Event_DragEnd::Create);
     
356.             Event::RegisterEventType(29, Event_KeyDown::Create);
     
357.             Event::RegisterEventType(30, Event_KeyUp::Create);
     
358.             Event::RegisterEventType(31, Event_AccessGetParent::Create);
     
359.             Event::RegisterEventType(32, Event_AccessGetChildCount::Create);
     
360.             Event::RegisterEventType(33, Event_AccessGetChild::Create);
     
361.             Event::RegisterEventType(34, Event_TipClose::Create);
     
362.             Event::RegisterEventType(37, Event_DpiChange::Create);
     
363.             Event::RegisterEventType(35, Event_ControllerKey::Create);
     
364.             Log(0x10u, 1280, "Engine.cpp", L"Registering Node Types");
     
365.             NodeButton::Register();
     
366.             NodeLabel::Register();
     
367.             NodeBase::Register();
     
368.             NodeSprite::Register();
     
369.             NodeEmitter::Register();
     
370.             NodeShot::Register();
     
371.             NodeNumber::Register();
     
372.             Log(0x10u, 1291, "Engine.cpp", L"Initializing Timekeeping");
     
373.             if ( Timekeeping::InitializeTimekeeping((Timekeeping *)v52) )
     
374.             {
     
375.               DialogHelper::SetDialogShutdownCallback((DialogHelper *)Engine_ResetTimer, v53);
     
376.               Log(0x10u, 1304, "Engine.cpp", L"Initializing ResourceManager");
     
377.               v37 = operator new(0x54u);
     
378.               pv = v37;
     
379.               v79 = 6;
     
380.               if ( v37 )
     
381.                 v38 = (ResourceManager *)ResourceManager::ResourceManager(v37);
     
382.               else
     
383.                 v38 = 0;
     
384.               v79 = -1;
     
385.               g_pResourceManager = v38;
     
386.               CheckAllocation((const void *)v38);
     
387.               if ( ResourceManager::Initialize(g_pResourceManager) )
     
388.               {
     
389.                 v65 = 0;
     
390.                 v66 = 0;
     
391.                 v68 = 0;
     
392.                 v64 = g_hRenderWindow;
     
393.                 LOWORD(v68) = 0;
     
394.                 v67 = 32;
     
395.                 (*(void (__stdcall **)(int *, int *))(*(_DWORD *)g_pInterface + 12))(&v65, &v66);
     
396.                 if ( g_bDoubleDPI )
     
397.                 {
     
398.                   v65 *= 2;
     
399.                   v66 *= 2;
     
400.                 }
     
401.                 Log(0x10u, 1331, "Engine.cpp", L"Initializing RenderManager");
     
402.                 v39 = operator new(0x90u);
     
403.                 pv = v39;
     
404.                 v79 = 7;
     
405.                 if ( v39 )
     
406.                   v40 = (RenderManager *)RenderManager::RenderManager(v39);
     
407.                 else
     
408.                   v40 = 0;
     
409.                 v79 = -1;
     
410.                 g_pRenderManager = v40;
     
411.                 CheckAllocation((const void *)v40);
     
412.                 if ( RenderManager::Initialize(g_pRenderManager, (const struct RenderInitializeOptions *)&v64) )
     
413.                 {
     
414.                   Log(0x10u, 1342, "Engine.cpp", L"Initializing Audio");
     
415.                   v41 = operator new(0x28u);
     
416.                   pv = v41;
     
417.                   v79 = 8;
     
418.                   if ( v41 )
     
419.                     v42 = (Audio *)Audio::Audio(v41);
     
420.                   else
     
421.                     v42 = 0;
     
422.                   v79 = -1;
     
423.                   g_pAudio = v42;
     
424.                   CheckAllocation((const void *)v42);
     
425.                   if ( Audio::Initialize(g_pAudio) )
     
426.                   {
     
427.                     Log(0x10u, 1354, "Engine.cpp", L"Initializing XNA Common Controller");
     
428.                     pv = operator new(0x80u);
     
429.                     v79 = 9;
     
430.                     if ( pv )
     
431.                       v43 = (CommonControllerThread *)CommonControllerThread::CommonControllerThread(
     
432.                                                         (int)g_hWnd,
     
433.                                                         g_bMediaCenter,
     
434.                                                         (int)v72);
     
435.                     else
     
436.                       v43 = 0;
     
437.                     v79 = -1;
     
438.                     g_pCommonController = v43;
     
439.                     Thread::Begin(v43);
     
440.                     Log(0x10u, 1361, "Engine.cpp", L"Initializing Timer");
     
441.                     v44 = operator new(0x34u);
     
442.                     if ( v44 )
     
443.                       v45 = (ResourceWMA *)Timer::Timer(v44);
     
444.                     else
     
445.                       v45 = 0;
     
446.                     g_pTimer = v45;
     
447.                     CheckAllocation((const void *)v45);
     
448.                     if ( ResourceWMA::LoadAsNeeded(g_pTimer) )
     
449.                     {
     
450.                       Log(0x10u, 1372, "Engine.cpp", L"Loading Fonts");
     
451.                       v46 = XmlManager::GetXml(g_pXmlManager, L"xml\\Fonts.xml");
     
452.                       if ( v46 )
     
453.                       {
     
454.                         pv = XmlNode::XPathElementSearch(v46, L"/Font", &v73);
     
455.                         Log(0x10u, 1383, "Engine.cpp", L"%d Fonts Found", v73);
     
456.                         for ( Dst = 0; (unsigned int)Dst < v73; Dst = (wchar_t *)((char *)Dst + 1) )
     
457.                         {
     
458.                           v47 = XmlNode::GetNodeValue(*((XmlNode **)pv + (_DWORD)Dst));
     
459.                           Log(0x10u, 1388, "Engine.cpp", L"Loading Font: %s", v47);
     
460.                           if ( AddFontResourceW(v47) )
     
461.                           {
     
462.                             Array<NodeBase *>::Add(v47);
     
463.                           }
     
464.                           else
     
465.                           {
     
466.                             Log(0x10u, 1412, "Engine.cpp", L"Couldn't add font: %s", v47);
     
467.                             operator delete(v47);
     
468.                           }
     
469.                         }
     
470.                         operator delete(pv);
     
471.                       }
     
472.                       else
     
473.                       {
     
474.                         Log(0x10u, 1426, "Engine.cpp", L"No Font Xml Found");
     
475.                       }
     
476.                       Log(0x10u, 1431, "Engine.cpp", L"Registering for session notification");
     
477.                       WTSRegisterSessionNotification(g_hWnd, 0);
     
478.                       v72 = XmlManager::GetXml(g_pXmlManager, L"engine.xml");
     
479.                       g_bInInitializer = 1;
     
480.                       Log(0x10u, 1439, "Engine.cpp", L"Engine Initialization Complete: Initializing Game Code.");
     
481.                       v48 = v71;
     
482.                       if ( !(unsigned __int8)(*(int (__thiscall **)(struct IEngineInterface *))(*(_DWORD *)v71 + 48))(v71) )
     
483.                       {
     
484.                         Log(0x10u, 1442, "Engine.cpp", L"Game code initialization failed.");
     
485.                         CleanupEngine(0);
     
486.                       }
     
487.                       g_bInInitializer = 0;
     
488.                       if ( v72 )
     
489.                         g_bFocusPause = XmlNode::GetXmlInt(v72, L"/PauseOnLostFocus", -1) > 0;
     
490.                       Engine_LoadingComplete();
     
491.                       g_Accelerator = 0;
     
492.                       if ( (*(int (__thiscall **)(struct IEngineInterface *))(*(_DWORD *)v48 + 40))(v48) )
     
493.                       {
     
494.                         v49 = (*(int (__thiscall **)(struct IEngineInterface *))(*(_DWORD *)v48 + 40))(v48);
     
495.                         v50 = GetModuleHandleW(0);
     
496.                         g_Accelerator = LoadAcceleratorsW(v50, (LPCWSTR)v49);
     
497.                       }
     
498.                       g_bInitializing = 0;
     
499.                       v60(&g_GdiPlusToken);
     
500.                       while ( 1 )
     
501.                       {
     
502.                         while ( !PeekMessageW(&Msg, 0, 0, 0, 0) )
     
503.                           RunEngine();
     
504.                         if ( !GetMessageW(&Msg, 0, 0, 0) )
     
505.                           break;
     
506.                         if ( !g_Accelerator || !TranslateAcceleratorW(g_hWnd, g_Accelerator, &Msg) )
     
507.                         {
     
508.                           TranslateMessage(&Msg);
     
509.                           DispatchMessageW(&Msg);
     
510.                         }
     
511.                       }
     
512.                       v61(g_GdiPlusToken);
     
513.                       (*(void (__thiscall **)(struct IEngineInterface *))(*(_DWORD *)v48 + 72))(v48);
     
514.                       CleanupEngine(0);
     
515.                     }
     
516.                     Log(0x10u, 1365, "Engine.cpp", L"Failed to initialize Timer");
     
517.                   }
     
518.                   else
     
519.                   {
     
520.                     Log(0x10u, 1346, "Engine.cpp", L"Failed to initialize Audio");
     
521.                   }
     
522.                 }
     
523.                 else
     
524.                 {
     
525.                   Log(0x10u, 1335, "Engine.cpp", L"Failed to initialize RenderManager");
     
526.                 }
     
527.               }
     
528.               else
     
529.               {
     
530.                 Log(0x10u, 1308, "Engine.cpp", L"Failed to initialize ResourceManager");
     
531.               }
     
532.             }
     
533.             else
     
534.             {
     
535.               Log(0x10u, 1294, "Engine.cpp", L"Failed to initialize timekeeping");
     
536.             }
     
537.           }
     
538.           else
     
539.           {
     
540.             Log(0x10u, 1198, "Engine.cpp", L"Window Creation Failed");
     
541.           }
     
542.         }
     
543.         else
     
544.         {
     
545.           Log(0x10u, 1132, "Engine.cpp", L"InitOberVFS() Failed");
     
546.         }
     
547.         CleanupEngine(0);
     
548.       }
     
549.       v12 = (wchar_t *)(*(int (__thiscall **)(struct IEngineInterface *))(*(_DWORD *)a1 + 16))(a1);
     
550.       v13 = LocalizeMessage(v12);
     
551.       v14 = FindWindowW(v13, 0);
     
552.       LocalFree((HLOCAL)v13);
     
553.       if ( v14 )
     
554.       {
     
555.         if ( IsIconic(v14) )
     
556.           ShowWindow(v14, 10);
     
557.         BringWindowToTop(v14);
     
558.         SetForegroundWindow(v14);
     
559.       }
     
560.     }
     
561.     ExitProcess(0);
     
562.   }
     
563.   return 0;
     
564. }
     
565. 
     
566. 可以发现，初始化了一个com组件，GUID=e7b2fb72_d728_49b3_a5f2_18ebf5f1349e（感兴趣可以在注册表CLSID中查，是个CGameExplorer类），可以看到最后一个参数获得了一个com对象，调用序列：
     
567. EngineHandler::GetProjectName  return "MineSweeper.dll"
     
568. CoCreateInstance(CGameExplorer)
     
569. EngineHandler::GetGdfPath return "\\Microsoft Games\\Minesweeper\\Minesweeper.exe"
     
570. CGameExplorer::VerifyAccess               这里会返回空，也是检测什么东西的，需要改返回值为0
     
571. 
     
572. 改了这2处，就可以运行了！改法有很多，不说了
     
573. 再来看结构，扫雷用C++写的，用到了XNA，可以找到棋牌类：
     
574. void *__thiscall Board::Board(void *this, int a2, int a3, int a4, int a5, int a6, int a7, int a8, char a9)
     
575. {
     
576.   void *v9; // esi@1
     
577.   unsigned int v10; // eax@1
     
578.   int v12; // [sp-14h] [bp-30h]@7
     
579.   int v13; // [sp-10h] [bp-2Ch]@7
     
580.   unsigned int v14; // [sp-Ch] [bp-28h]@3
     
581.   signed int v15; // [sp-8h] [bp-24h]@1
     
582.   void *v16; // [sp+Ch] [bp-10h]@1
     
583.   int v17; // [sp+18h] [bp-4h]@1
     
584. 
     
585.   v9 = this;
     
586.   v16 = this;
     
587.   v15 = 16;
     
588.   *(_DWORD *)this = &Board::`vftable';
     
589.   Array<UITile *>::Array<UITile *>(v15);
     
590.   *((float *)v9 + 7) = 0.0;
     
591.   *((_DWORD *)v9 + 8) = a2;
     
592.   *((_DWORD *)v9 + 1) = a5;
     
593.   *((_DWORD *)v9 + 2) = a4;
     
594.   *((_DWORD *)v9 + 3) = a3;
     
595.   *((_DWORD *)v9 + 11) = a6;
     
596.   *((_DWORD *)v9 + 9) = a7;
     
597.   v17 = 0;
     
598.   *((_DWORD *)v9 + 4) = 0;
     
599.   *((_DWORD *)v9 + 5) = 0;
     
600.   *((_DWORD *)v9 + 6) = 0;
     
601.   *((_DWORD *)v9 + 16) = 0;
     
602.   *((_DWORD *)v9 + 17) = 0;
     
603.   *((_DWORD *)v9 + 10) = a8;
     
604.   Board::initTiles((Board *)v9);
     
605.   v10 = *((_DWORD *)v9 + 9);
     
606.   if ( v10 != -1 && *((_DWORD *)v9 + 10) != -1 )
     
607.   {
     
608.     v15 = *((_DWORD *)v9 + 10);
     
609.     v14 = v10;
     
610.     if ( a9 )
     
611.     {
     
612.       Board::placeMines((Board *)v9, v14, v15);
     
613.       ++*((_DWORD *)v9 + 6);
     
614.     }
     
615.     else
     
616.     {
     
617.       Board::AttemptReveal((Board *)v9, v14, v15);
     
618.     }
     
619.   }
     
620.   if ( *((_DWORD *)v9 + 1) > *((_DWORD *)v9 + 3) * *((_DWORD *)v9 + 2) - 9 )
     
621.   {
     
622.     v15 = 1;
     
623.     Str::Str(L"Too many mines for tile count");
     
624.     StrErr(v12, v13, v14, v15);
     
625.     *((_DWORD *)v9 + 1) = *((_DWORD *)v9 + 3) * *((_DWORD *)v9 + 2) - 9;
     
626.   }
     
627.   return v9;
     
628. }
     
629. 
     
630. 继续向上看，来到Game构造函数：
     
631. void *__thiscall Game::Game(void *this)
     
632. {
     
633.   void *v1; // esi@1
     
634.   int v2; // edi@1
     
635.   int v3; // eax@1
     
636.   int v4; // ST08_4@1
     
637.   signed int v5; // eax@1
     
638.   int v6; // ST08_4@1
     
639. 
     
640.   v1 = this;
     
641.   *(_DWORD *)this = &Game::`vftable';
     
642.   Array<UITile *>::Array<UITile *>(16);
     
643.   Array<UITile *>::Array<UITile *>(16);
     
644.   Array<UITile *>::Array<UITile *>(16);
     
645.   Array<UITile *>::Array<UITile *>(16);
     
646.   Array<UITile *>::Array<UITile *>(16);
     
647.   Array<UITile *>::Array<UITile *>(16);
     
648.   v2 = (int)((char *)v1 + 152);
     
649.   *(_DWORD *)v2 = 0;
     
650.   *(_DWORD *)(v2 + 8) = 0;
     
651.   *(_DWORD *)(v2 + 12) = 0;
     
652.   GameStats::GameStats((char *)v1 + 168);
     
653.   Game::G = (Game *)v1;
     
654.   *((_DWORD *)v1 + 8) = -1;
     
655.   *((_DWORD *)v1 + 9) = -1;
     
656.   *((_DWORD *)v1 + 4) = 0;
     
657.   *((_DWORD *)v1 + 3) = 0;
     
658.   *((_DWORD *)v1 + 2) = 0;
     
659.   *((_BYTE *)v1 + 218) = 0;
     
660.   *((_DWORD *)v1 + 10) = 2;
     
661.   *((_DWORD *)v1 + 12) = 0;
     
662.   *((_DWORD *)v1 + 13) = 0;
     
663.   *((_BYTE *)v1 + 197) = 0;
     
664.   *((_BYTE *)v1 + 195) = 1;
     
665.   *((_BYTE *)v1 + 193) = 0;
     
666.   *((_BYTE *)v1 + 194) = 0;
     
667.   *((_BYTE *)v1 + 196) = 0;
     
668.   *((_BYTE *)v1 + 192) = 0;
     
669.   *((_DWORD *)v1 + 47) = 0;
     
670.   *((_BYTE *)v1 + 24) = 1;
     
671.   *((_BYTE *)v1 + 25) = 1;
     
672.   *((_BYTE *)v1 + 26) = 1;
     
673.   *((_BYTE *)v1 + 27) = 1;
     
674.   *((_BYTE *)v1 + 28) = 1;
     
675.   *((_BYTE *)v1 + 29) = 1;
     
676.   *((_BYTE *)v1 + 30) = 0;
     
677.   *((_DWORD *)v1 + 50) = 1;
     
678.   v3 = EDifficultyToWidth(1);
     
679.   v4 = *((_DWORD *)v1 + 50);
     
680.   *((_DWORD *)v1 + 51) = v3;
     
681.   v5 = EDifficultyToHeight(v4);
     
682.   v6 = *((_DWORD *)v1 + 50);
     
683.   *((_DWORD *)v1 + 52) = v5;
     
684.   *((_DWORD *)v1 + 53) = EDifficultyToMineCount(v6);
     
685.   Game::RandomizeSeedOnTime((Game *)v1);
     
686.   CSQMTimeRecorder::SetDataId((CSQMTimeRecorder *)((char *)v1 + 152), 0x17C7u);
     
687.   Game::Reset((Game *)v1, 0, 0, 0);
     
688.   Game::RequestSetState(v1, 0);
     
689.   *((_BYTE *)v1 + 216) = 0;
     
690.   *((_BYTE *)v1 + 217) = 0;
     
691.   return v1;
     
692. }
     
693. 
     
694. EDifficultyToWidth和EDifficultyToHeight，分析可知是将默认难度级别转换为雷区阵列的高和宽，同理EDifficultyToMineCount是雷数
     
695. 那么Game类结构：
     
696. +200        Difficulty        1        2        3
     
697. +204        Width                 9        16        16
     
698. +208        Height                9        16        30
     
699. +212        MineCount        10        40        99
     
700. 再往上层看调用者：
     
701. struct Game *__stdcall Game::SafeGetSingleton()
     
702. {
     
703.   void *v0; // ecx@2
     
704.   Game *v1; // eax@3
     
705.   int v3; // [sp-10h] [bp-2Ch]@6
     
706.   int v4; // [sp-Ch] [bp-28h]@6
     
707.   int v5; // [sp-8h] [bp-24h]@6
     
708.   void *v6; // [sp+Ch] [bp-10h]@2
     
709.   int v7; // [sp+18h] [bp-4h]@2
     
710. 
     
711.   if ( !Game::G )
     
712.   {
     
713.     v0 = operator new(0xE0u);
     
714.     v6 = v0;
     
715.     v7 = 0;
     
716.     if ( v0 )
     
717.       v1 = (Game *)Game::Game(v0);
     
718.     else
     
719.       v1 = 0;
     
720.     v7 = -1;
     
721.     Game::G = v1;
     
722.     if ( !v1 || (v6 = &v3, Str::Str(dword_10868FC), !(unsigned __int8)Game::initLogic(Game::G, v3, v4, v5)) )
     
723.       Game::PrintFatalErrorAndQuit(103);
     
724.   }
     
725.   return Game::G;
     
726. }
     
727. 可见，Game是个单例类，构造的类指针存在了全局变量Game::G中，因此我们只要读取内存PE获取该结构相对.data段偏移，即可获取全部所需数据（或者调用SafeGetSingleton，只不过要定位.text段基址）
     
728. 
     
729. 再来看 Game::Reset
     
730. void __thiscall Game::Reset(Game *this, bool a2, bool a3, bool a4)
     
731. {
     
732.   Game *v4; // esi@1
     
733.   int v5; // eax@2
     
734.   int v6; // edi@5
     
735.   double v7; // st7@6
     
736.   int v8; // edi@7
     
737.   int v9; // eax@8
     
738.   int v10; // ecx@9
     
739.   int v11; // eax@9
     
740.   int v12; // ecx@14
     
741.   int v13; // edi@15
     
742.   void *v14; // eax@15
     
743.   void *v15; // eax@16
     
744.   bool v16; // di@18
     
745.   void *v17; // ecx@19
     
746.   int v18; // eax@22
     
747.   void *v19; // eax@22
     
748.   int v20; // [sp+18h] [bp-28h]@15
     
749.   void *v21; // [sp+18h] [bp-28h]@21
     
750.   int v22; // [sp+1Ch] [bp-24h]@15
     
751.   int v23; // [sp+20h] [bp-20h]@7
     
752.   int v24; // [sp+24h] [bp-1Ch]@9
     
753.   int v25; // [sp+28h] [bp-18h]@9
     
754.   int v26; // [sp+2Ch] [bp-14h]@13
     
755.   char v27; // [sp+33h] [bp-Dh]@1
     
756. 
     
757.   v4 = this;
     
758.   Game::SetTimerEnabled(this, 0);
     
759.   v27 = 0;
     
760.   if ( !a3 )
     
761.   {
     
762.     v5 = *((_DWORD *)v4 + 4);
     
763.     if ( v5 )
     
764.     {
     
765.       if ( *(_DWORD *)(v5 + 24) > 0 && *((_DWORD *)Game::G + 10) == 1 )
     
766.       {
     
767.         v6 = *(_DWORD *)(v5 + 32);
     
768.         if ( v6 != 4 )
     
769.         {
     
770.           v7 = *(float *)(v5 + 28);
     
771.           floorf(*(float *)(v5 + 28));
     
772.           GameStats::AddNewScore((char *)v4 + 168, v6, (signed int)v7, 0);
     
773.           Game::Save(Game::G, 0, 0);
     
774.         }
     
775.       }
     
776.     }
     
777.   }
     
778.   v8 = *((_DWORD *)v4 + 50);
     
779.   *((float *)v4 + 11) = 1.0;
     
780.   v23 = v8;
     
781.   if ( a3 && (v9 = *((_DWORD *)v4 + 4)) != 0 )
     
782.   {
     
783.     v23 = *(_DWORD *)(v9 + 32);
     
784.     v24 = *(_DWORD *)(v9 + 12);
     
785.     v10 = *(_DWORD *)(v9 + 8);
     
786.     v11 = *(_DWORD *)(v9 + 4);
     
787.     v25 = v10;
     
788.   }
     
789.   else if ( v8 == 4 )
     
790.   {
     
791.     v24 = *((_DWORD *)v4 + 51);
     
792.     v25 = *((_DWORD *)v4 + 52);
     
793.     v11 = *((_DWORD *)v4 + 53);
     
794.   }
     
795.   else
     
796.   {
     
797.     v24 = EDifficultyToWidth(v8);
     
798.     v25 = EDifficultyToHeight(v8);
     
799.     v11 = EDifficultyToMineCount(v8);
     
800.   }
     
801.   v26 = v11;
     
802.   if ( a3 && (v12 = *((_DWORD *)v4 + 4)) != 0 )
     
803.   {
     
804.     v13 = *(_DWORD *)(v12 + 36);
     
805.     v22 = *(_DWORD *)(v12 + 40);
     
806.     v20 = *(_DWORD *)(v12 + 44);
     
807.     Board::`scalar deleting destructor'((void *)v12, 1);
     
808.     *((_DWORD *)v4 + 4) = 0;
     
809.     v14 = operator new(0x48u);
     
810.     if ( v14 )
     
811.       v15 = Board::Board(v14, v23, v24, v25, v26, v20, v13, v22, 1);
     
812.     else
     
813.       v15 = 0;
     
814.     *((_DWORD *)v4 + 4) = v15;
     
815.     *((_DWORD *)v15 + 6) = 0;
     
816.     Game::RandomizeSeedOnTime(v4);
     
817.     v27 = 1;
     
818.     v16 = 1;
     
819.   }
     
820.   else
     
821.   {
     
822.     v17 = (void *)*((_DWORD *)v4 + 4);
     
823.     v16 = 1;
     
824.     if ( v17 )
     
825.     {
     
826.       Board::`scalar deleting destructor'(v17, 1);
     
827.       *((_DWORD *)v4 + 4) = 0;
     
828.     }
     
829.     v21 = operator new(0x48u);
     
830.     if ( v21 )
     
831.     {
     
832.       v18 = _time(0);
     
833.       v19 = Board::Board(v21, v23, v24, v25, v26, v18, -1, -1, 0);
     
834.     }
     
835.     else
     
836.     {
     
837.       v19 = 0;
     
838.     }
     
839.     *((_DWORD *)v4 + 4) = v19;
     
840.   }
     
841.   Game::SaveGameExplorerStatistics(v4);
     
842.   *((_BYTE *)v4 + 217) = 0;
     
843.   if ( !*((_BYTE *)v4 + 193) || !Game::RandomizeArt(v4, v16) )
     
844.   {
     
845.     if ( !a2 )
     
846.       goto LABEL_33;
     
847.     if ( *((_BYTE *)v4 + 27) )
     
848.       UIBoardCanvas::SetAllTilesTopAlpha(*((UIBoardCanvas **)v4 + 3), 0);
     
849.     Game::ResetCanvas(v4);
     
850.   }
     
851.   if ( a2 )
     
852.   {
     
853.     Game::RequestSetState(v4, 1);
     
854.     UIBoardCanvas::Refresh(*((UIBoardCanvas **)v4 + 3), 1);
     
855.     Game::DoNewBoardAnimation(v4);
     
856.   }
     
857. LABEL_33:
     
858.   if ( v27 )
     
859.     UIBoardCanvas::ShowTipMessage(*((UIBoardCanvas **)v4 + 3), L"Restart");
     
860.   if ( a4 )
     
861.   {
     
862.     UserInterface::ProcessMouseMove(g_pUserInterface, v16);
     
863.     Engine_ResetTimer();
     
864.   }
     
865.   if ( a3 )
     
866.     *(_DWORD *)(*((_DWORD *)v4 + 4) + 24) = 1;
     
867.   *((_BYTE *)v4 + 197) = 0;
     
868. }
     
869. 
     
870. 分析可知:
     
871. Game:sizeof=224
     
872. +8                DWORD
     
873. +12                UIBoardCanvas *
     
874. +16                Board*
     
875. +24                bool
     
876. +25                bool
     
877. +26                bool
     
878. +27                bool
     
879. +28                bool
     
880. +29                bool
     
881. +30                bool
     
882. +32                int
     
883. +36                int
     
884. +40                int state
     
885. +48                DWORD
     
886. +52                DWORD
     
887. +56                Array<UITile *>*
     
888. +72                Array<UITile *>*
     
889. +88                Array<UITile *>*
     
890. +104        Array<UITile *>*
     
891. +120        Array<UITile *>*
     
892. +136        Array<UITile *>*
     
893. +152        CSQMTimeRecorder*
     
894. +188        DWORD
     
895. +192        bool
     
896. +193        bool
     
897. +194        bool
     
898. +195        bool
     
899. +196        bool
     
900. +197        bool
     
901. 
     
902. +200        Difficulty       
     
903. +204        Width                
     
904. +208        Height               
     
905. +212        MineCount       
     
906. +216        bool
     
907. +217        bool
     
908. +218        bool IsTimerEnabled
     
909. 
     
910. Board:sizeof=72
     
911. +4                MineCount
     
912. +8                Height
     
913. +12                Width
     
914. +24                是否挖过雷？
     
915. +28                float
     
916. +32                Difficulty       
     
917. +36                HitX
     
918. +40                HitY
     
919. +44
     
920. +68                Array<Array<BYTE>>* MineArray
     
921. 
     
922. Array<UITile *>:sizeof=16
     
923. +0                MineCount
     
924. +4
     
925. +8
     
926. +12                DWORD[]        MineIndexArray//存储雷位置索引
     
927. 
     
928. UITile:
     
929. +36                state
     
930. 
     
931. void __thiscall Board::placeMines(Board *this, int a2, int a3)
     
932. {//布置雷区
     
933.   Board *v3; // esi@1
     
934.   int v4; // eax@1
     
935.   int i; // edi@4
     
936.   signed int v6; // ecx@5
     
937.   int v7; // eax@9
     
938.   int v8; // edi@10
     
939.   unsigned int v9; // ebx@13
     
940.   unsigned int v10; // ecx@15
     
941.   signed int v11; // ebx@16
     
942.   int v12; // eax@16
     
943.   int v13; // edx@16
     
944.   unsigned int Seed; // [sp+Ch] [bp-8h]@1
     
945.   int pv; // [sp+10h] [bp-4h]@2
     
946. 
     
947.   v3 = this;
     
948.   Seed = GetRandomSeed();
     
949.   SetRandomSeed(*((_DWORD *)v3 + 11));
     
950.   v4 = (int)operator new(0x10u);
     
951.   if ( v4 )
     
952.     pv = Array<UITile *>::Array<UITile *>(v4, 16);
     
953.   else
     
954.     pv = 0;
     
955.   for ( i = 0; i < *((_DWORD *)v3 + 3) * *((_DWORD *)v3 + 2); ++i )
     
956.   {
     
957.     v6 = *((_DWORD *)v3 + 3);
     
958.     if ( (i % v6 - a2) * (2 * (i % v6 - a2 >= 0) - 1) > 1 || (i / v6 - a3) * (2 * (i / v6 - a3 >= 0) - 1) > 1 )//取第一次点击位置以外的雷区位置，存到数组array1里，这样设计就不会导致第一次就点到雷
     
959.       Array<NodeBase *>::Add(pv, i);
     
960.   }
     
961.   v7 = (int)operator new(0x10u);
     
962.   if ( v7 )
     
963.     v8 = Array<UITile *>::Array<UITile *>(v7, *((_DWORD *)v3 + 1));
     
964.   else
     
965.     v8 = 0;
     
966.   while ( *(_DWORD *)v8 != *((_DWORD *)v3 + 1) && *(_DWORD *)pv )
     
967.   {//若雷数不够且array1没被用完就一直布雷
     
968.     v9 = GetRandom(0, *(_DWORD *)pv - 1);//rand(0,array1.size()-1)
     
969.     Array<NodeBase *>::Add(v8, *(_DWORD *)(*(_DWORD *)(pv + 12) + 4 * v9));//在array2中增加该位置
     
970.     Array<NodeBase *>::Remove(pv, v9);//从array1中去除该位置
     
971.   }
     
972.   v10 = 0;
     
973.   if ( *(_DWORD *)v8 )
     
974.   {
     
975.     do
     
976.     {
     
977.       v11 = *((_DWORD *)v3 + 3);
     
978.       v12 = *(_DWORD *)(*(_DWORD *)(v8 + 12) + 4 * v10) / v11;
     
979.       v13 = *(_DWORD *)(*(_DWORD *)(v8 + 12) + 4 * v10++) % v11;//分别还原横纵坐标
     
980.       *(_BYTE *)(v12 + *(_DWORD *)(*(_DWORD *)(*(_DWORD *)(*((_DWORD *)v3 + 17) + 12) + 4 * v13) + 12)) = 1;//可以推测出将布雷坐标数组存到Array<Array<BYTE>>二维数组里
     
981.     }
     
982.     while ( v10 < *(_DWORD *)v8 );
     
983.   }
     
984.   Array<int>::`scalar deleting destructor'((void *)v8, 1);
     
985.   if ( pv )
     
986.     Array<int>::`scalar deleting destructor'((void *)pv, 1);
     
987.   SetRandomSeed(Seed);
     
988. }
     
989. 
     
990. 
     
991. 向上层找：
     
992. int __thiscall Board::AttemptReveal(Board *this, unsigned int a2, unsigned int a3)
     
993. {
     
994.   Board *v3; // esi@1
     
995.   int v4; // eax@1
     
996.   int v5; // eax@6
     
997.   unsigned int *v7; // [sp+0h] [bp-10h]@0
     
998.   int v8; // [sp+Ch] [bp-4h]@1
     
999. 
     
1000.   v3 = this;
      
1001.   v4 = *(_DWORD *)(*(_DWORD *)(*(_DWORD *)(*(_DWORD *)(*((_DWORD *)this + 16) + 12) + 4 * a2) + 12) + 4 * a3);
      
1002.   v8 = 0;
      
1003.   if ( v4 == 9 || v4 == 11 )
      
1004.   {
      
1005.     if ( *((_DWORD *)this + 6) )
      
1006.     {
      
1007.       if ( *(_BYTE *)(a3 + *(_DWORD *)(*(_DWORD *)(*(_DWORD *)(*((_DWORD *)this + 17) + 12) + 4 * a2) + 12)) )
      
1008.       {
      
1009.         v8 = 0;
      
1010. LABEL_11:
      
1011.         ++*((_DWORD *)v3 + 6);
      
1012.         goto LABEL_12;
      
1013.       }
      
1014.       v5 = Board::revealAt(this, a2, a3, 0, a2, a3, 0);
      
1015.     }
      
1016.     else
      
1017.     {
      
1018.       Board::placeMines(this, a2, a3);//如果是首次挖雷，则布雷
      
1019.       v5 = Board::revealAt(v3, a2, a3, 0, a2, a3, 0);
      
1020.       *((_DWORD *)v3 + 9) = a2;
      
1021.       *((_DWORD *)v3 + 10) = a3;//存储点击位置
      
1022.     }
      
1023.     v8 = v5;
      
1024.     goto LABEL_11;
      
1025.   }
      
1026.   if ( *((_BYTE *)Game::G + 24) )
      
1027.     GameAudio::PlaySoundProto(0, 0, 0, v7);
      
1028. LABEL_12:
      
1029.   if ( *((_DWORD *)v3 + 12) <= 0u )
      
1030.     UIBoardCanvas::Refresh(*((UIBoardCanvas **)Game::G + 3), 1);
      
1031.   return v8;
      
1032. }
      
1033. 
      
1034. 至此，想得到的结果已经都得到
      
1035. 这里只研究了很普通的一些属性，然而代码中却有很多可以挖掘的地方，请自行研究！

复制代码

根据以上分析可以得到代码：

1. template<typename T>
   
2. struct Array
   
3. {
   
4.         DWORD MineCount;
   
5.         DWORD unused1;
   
6.         DWORD unused2;
   
7.         T* data;
   
8. };
   
9. 
   
10. #include <TlHelp32.h>
    
11. void CWin7MineSweeperHackerDlg::OnBnClickedOk()
    
12. {
    
13.         // TODO: 在此添加控件通知处理程序代码
    
14.         UpdateData(TRUE);
    
15.         m_output="";
    
16.         PROCESSENTRY32 pe;
    
17.         pe.dwSize=sizeof(PROCESSENTRY32);
    
18.         HANDLE hProcess=NULL;
    
19.         HANDLE hSnapshot=CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);
    
20.         if(hSnapshot == INVALID_HANDLE_VALUE || !Process32First(hSnapshot,&pe))
    
21.         {
    
22.                 AfxMessageBox("ERROR!");
    
23.                 return;
    
24.         }
    
25.         do
    
26.         {
    
27.                 if(StrStr(pe.szExeFile,"MineSweeper.exe"))
    
28.                 {
    
29.                         hProcess=OpenProcess(PROCESS_ALL_ACCESS,FALSE,pe.th32ProcessID);
    
30.                         break;
    
31.                 }
    
32.         }
    
33.         while(Process32Next(hSnapshot,&pe));
    
34.         CloseHandle(hSnapshot);
    
35.         if(hProcess == NULL)
    
36.         {
    
37.                 AfxMessageBox("找不到进程！");
    
38.                 return;
    
39.         }
    
40. 
    
41.         MODULEENTRY32 me;
    
42.         me.dwSize=sizeof(MODULEENTRY32);
    
43.         LPVOID peBase=NULL;
    
44.         DWORD peSize;
    
45.         hSnapshot=CreateToolhelp32Snapshot(TH32CS_SNAPMODULE,pe.th32ProcessID);
    
46.         if(hSnapshot == NULL || !Module32First(hSnapshot,&me))
    
47.         {
    
48.                 AfxMessageBox("ERROR");
    
49.                 return;
    
50.         }
    
51. 
    
52.         do
    
53.         {
    
54.                 if(StrStrI(me.szModule,"mine"))
    
55.                 {
    
56.                         peBase=(LPVOID)me.modBaseAddr;
    
57.                         peSize=me.modBaseSize;
    
58.                         break;
    
59.                 }
    
60.         } while (Module32Next(hSnapshot,&me));
    
61.         CloseHandle(hSnapshot);
    
62. 
    
63.         if(peBase == NULL)
    
64.         {               
    
65.                 AfxMessageBox("ERROR");
    
66.                 return;
    
67.         }
    
68. 
    
69.         BYTE* buffer=new BYTE[peSize];
    
70.         DWORD readnum;
    
71.         ReadProcessMemory(hProcess,peBase,buffer,peSize,&readnum);
    
72.         IMAGE_DOS_HEADER* dosheader=(IMAGE_DOS_HEADER*)buffer;
    
73.         IMAGE_NT_HEADERS* ntheader=(IMAGE_NT_HEADERS*)(buffer+dosheader->e_lfanew);
    
74.         IMAGE_SECTION_HEADER* cur=(IMAGE_SECTION_HEADER*)(ntheader+1);
    
75.         for(int i=0;i<ntheader->FileHeader.NumberOfSections;i++)
    
76.         {
    
77.                 if(StrStrI((CHAR*)cur->Name,".data"))
    
78.                 {
    
79.                         break;
    
80.                 }
    
81.                 cur++;
    
82.         }
    
83.         struct Board;
    
84.         struct Game
    
85.         {
    
86.                 DWORD unused[4];
    
87.                 struct Board* board;
    
88.         };
    
89.         struct Board
    
90.         {
    
91.                 DWORD unused1;
    
92.                 DWORD MineCount;
    
93.                 DWORD Height;
    
94.                 DWORD Width;
    
95.                 DWORD unused2[4];
    
96.                 DWORD Difficulty;
    
97.                 DWORD HitX;
    
98.                 DWORD HitY;
    
99.                 DWORD unused3[6];
    
100.                 Array< Array<BYTE> >* MineArray;
     
101.         };
     
102.        
     
103.         BYTE* GameInThatProc = (BYTE*)*(Game**)(buffer + cur->VirtualAddress + 0x88B4);
     
104.         //换算成本地地址
     
105.         Game G;
     
106.         if (GameInThatProc == NULL)
     
107.         {
     
108.                 AfxMessageBox("数据有误");
     
109.                 goto end1;
     
110.         }
     
111.         ReadProcessMemory(hProcess, GameInThatProc, &G, sizeof(G), &readnum);
     
112.         //换算成本地地址
     
113.         Board B;
     
114.         if (G.board == NULL)
     
115.         {
     
116.                 AfxMessageBox("数据有误");
     
117.                 return;
     
118.         }
     
119.         ReadProcessMemory(hProcess, G.board, &B, sizeof(B), &readnum);
     
120.         Array< Array<BYTE> > MA;
     
121.         if (B.MineArray == NULL)
     
122.         {
     
123.                 AfxMessageBox("数据有误");
     
124.                 goto end1;
     
125.         }
     
126.         ReadProcessMemory(hProcess, B.MineArray, &MA, sizeof(MA), &readnum);
     
127.         typedef Array<BYTE>* pMAsub;//先取指针数组
     
128.         pMAsub* data1 = new pMAsub[B.Width];
     
129.         if (MA.data == NULL)
     
130.         {
     
131.                 AfxMessageBox("数据有误");
     
132.                 goto end1;
     
133.         }
     
134.         ReadProcessMemory(hProcess, MA.data, data1, sizeof(Array<BYTE>*) * B.Width, &readnum);
     
135. 
     
136.         for(int i=0;i<B.Width;i++)
     
137.         {
     
138.                 Array<BYTE> data2;//对指针数组每个指针找到对象内存
     
139.                 ReadProcessMemory(hProcess, data1[i], &data2, sizeof(data2), &readnum);
     
140.                 if (data2.data == NULL)
     
141.                 {
     
142.                         AfxMessageBox("数据有误");
     
143.                         goto end1;
     
144.                 }
     
145.                 BYTE* data3 = new BYTE[B.Height];
     
146.                 ReadProcessMemory(hProcess, data2.data, data3, sizeof(BYTE) * B.Height, &readnum);
     
147. 
     
148.                 for(int j=0;j<B.Height;j++)
     
149.                 {
     
150.                         if(data3[j] == 1)//雷
     
151.                         {
     
152.                                 m_output += "雷";
     
153.                         }
     
154.                         else
     
155.                         {
     
156.                                 m_output += "空";
     
157.                         }
     
158.                 }
     
159.                 delete[]data3;
     
160.                 m_output += "\r\n";
     
161.         }
     
162. 
     
163.         delete[]data1;
     
164. 
     
165. end1:
     
166.         delete []buffer;
     
167.         CloseHandle(hProcess);
     
168.         UpdateData(FALSE);
     
169. }
     

复制代码

新开一局扫雷，可以发现程序获取结果：
空空空空空空空空空
空空空空空空空空空
空空空空空空空空空
空空空空空空空空空
空空空空空空空空空
空空空空空空空空空
空空空空空空空空空
空空空空空空空空空
空空空空空空空空空

可见，没点击前，是不布雷的，和之前分析的一样
点击以后：
空雷空空空空空空空
空雷空空空空空空空
空空空空空空空空空
空空雷空雷空空空空
空空雷空空空空空空
空空空空空空空空空
雷雷空空空空空空空
空空雷空空空空空空
雷空空空雷空空空空

特别注意，，由于程序中使用的数据结构原因，得到的结果，和扫雷屏幕上显示，关于y=x对称！！！

元始天尊

截图：截图




相关文件：
破解的win7扫雷，及工程文件：



http://pan.baidu.com/s/1o6xaPwI

0x01810

XP下的扫雷用C写的简直太好逆了. C++写的蛋疼多了.. 之前也是纠结为什么不能运行, 没去深入分析. LZ天天坚持练习发帖也是厉害.