गेम वारक्राफ्ट 3 में पहले से तय भेद्यता का इतिहास और विवरण

यह मार्च के महीने में 2009 था, तब मैं खेल WarCraft 3 के लिए नक्शे बनाने का शौकीन था। एक बार जब उन्होंने मुझे एक नक्शा दिखाया, जब खेल शुरू हुआ, तो कुछ चालाक तरीके से एक कंसोल बनाया और उसमें लिखा था "हैलो वर्ल्ड!" इसे हल्के ढंग से कहने के लिए, मैं गूंगा था - इसका मतलब था कि सिस्टम में मनमाना कोड निष्पादित करना संभव था।

कटौती के तहत भेद्यता और इसके बंद होने के इतिहास का वर्णन है।

मेरे परिचितों में से एक, जिसे हम "मॉडमेकर" पार्टी भी कहते हैं, ने एक लेख का अनुवाद पोस्ट किया जिसमें बताया गया कि खेल की क्षमताओं का विस्तार करने के लिए बाहरी कार्यक्रम का उपयोग कैसे किया जाए। तब किसी ने, जिसके उपनाम से मैं फोन नहीं करूंगा, उसे एक निजी "बिना किसी बाहरी कार्यक्रम के किया जा सकता है" में उसे लिखा और उसे यह कार्ड भेजा। मैंने उनके किसी भी संपर्क के लिए कहा, और मैं आईसीक्यू के माध्यम से उनसे संपर्क करने में कामयाब रहा। मेरे आश्चर्य के लिए, उन्होंने व्यापक जानकारी दी कि वास्तव में भेद्यता क्या है और इसका उपयोग कैसे करें। लेकिन, पूरी तस्वीर के लिए, मुझे खेल के लिए स्क्रिप्ट लिखने की कुछ बारीकियों को समझाकर शुरू करना होगा।

बग लौटा दो

वारक्राफ्ट 3 में लिपियों को बर्फ़ीला तूफ़ान-विकसित JASS (बस एक और स्क्रिप्ट सिस्टम) पर लिखा गया है। सामान्य तौर पर, यह काफी लचीला होता है (संपूर्ण मानक अभियान इस भाषा के लिए दृश्य ऐड-ऑन पर बनाया जाता है), लेकिन परेशानी यह है: कोई संरचना नहीं है, और मानक स्लीप उस समय को गिनता है जब खेल रोका जाता है, और यहां तक ​​कि कम सटीकता के साथ, एक शब्द में, इकाई को सुचारू रूप से चलाने के लिए, उदाहरण के लिए, इसे हर .03 सेकंड में ले जाना असंभव है। लेकिन ऐसे टाइमर हैं जिन्हें शुरू किया जा सकता है, और जो काफी सटीक हैं, और गिनती के अंत में कॉलबैक तर्क में निर्दिष्ट फ़ंक्शन को कहा जा सकता है। लेकिन वे समस्या का समाधान भी नहीं करते हैं: उदाहरण के लिए, कुछ कार्यों में देरी करने वाली क्षमता सही ढंग से काम नहीं करेगी यदि दो बार उपयोग किया जाता है: टाइमर के अंत में कहा जाने वाले फ़ंक्शन के लिए किसी भी तर्क को पारित करना असंभव है, और इसलिए यह पता लगाना असंभव है - उदाहरण क्षमता इस समारोह को संभालना चाहिए।

और यहां रिटर्न बग की खोज की गई (यह बहुत समय पहले था, मुझे लगता है कि 2005 में, और शायद पहले। मुझे यह क्षण नहीं मिला) JASS एक जोरदार टाइप की गई भाषा है, लेकिन इस बग ने इसे दरकिनार कर दिया। ऐसा लग रहा था:

function RB takes unit u return integer return u //    ,     , //     return 0 //       endfunction 

लेकिन त्रुटि सामने नहीं आई - जाहिर है, रिटर्न प्रकार एक अलग क्षेत्र में लिखा गया था, लेकिन अगला रिटर्न निर्देश इस क्षेत्र को फिर से लिखता है। इस कोड के निष्पादन के परिणामस्वरूप, फ़ंक्शन एक निश्चित संख्या लौटाएगा, जो पारित किए गए यूनिट फ़ंक्शन का इन-गेम डिस्क्रिप्टर होगा। और प्रत्येक इकाई के लिए यह संख्या अद्वितीय होगी।

भाषा में भी कैश के रूप में ऐसा उपकरण था - यह एक अभियान में डेटा संग्रहीत करने और एक मिशन से दूसरे डेटा को स्थानांतरित करने के लिए अभिप्रेत था, और आम तौर पर इसमें केवल संख्याएं, लाइनें और तार्किक चर लिखना संभव था, और दो लाइनों ने एक सूचकांक के रूप में कार्य किया। नतीजतन, एक विधि का आविष्कार किया गया था कि एक स्ट्रिंग में परिवर्तित टाइमर डिस्क्रिप्टर के सूचकांक पर कैश में उस यूनिट के डिस्क्रिप्टर को लिखा गया था जिसके साथ स्थगित कार्यों को करना आवश्यक था, और फिर फ़ंक्शन के कॉलबैक में टाइमर डिस्क्रिप्टर प्राप्त करना संभव था, और वांछित इकाई पर कार्रवाई करना। यह एक जीत थी, जो मानचित्र निर्माताओं की क्षमताओं का काफी विस्तार करती थी।

यह भी अजीब है कि खेल के डेवलपर्स ने इस खामियों को बंद नहीं किया, और इसका उपयोग व्यापक हो गया। वास्तव में, इकाइयों की कोई भी दिलचस्प गैर-मानक क्षमता इस तरह बनाई गई थी।

कैसे JASS दुभाषिया काम करता है

लोड करने पर, मैप स्क्रिप्ट के आधार पर, गेम छद्मकोड बनाता है, कुछ हद तक कोडांतरक की याद दिलाता है। खेल 8 बाइट ऑपकोड का उपयोग करता है, जहां पहले 4 बाइट्स ऑपरेशन कोड को इंगित करते हैं और वैकल्पिक रूप से वर्चुअल रजिस्टर (256) होते हैं, और दूसरे 4 बाइट्स तर्क को इंगित करते हैं, उदाहरण के लिए, जब मूल्य रजिस्टर में लोड किया जाता है, तो मूल्य सीधे ही होगा। कोड में प्रत्येक बाद के ऑपरेशन के लिए रजिस्टर आईडी बढ़े हुए हैं, उदाहरण के लिए foo = 0; बार = 2; - रजिस्टर # 00 का उपयोग वैल्यू फू को असाइन करने के लिए किया जाएगा, और बार # 01 के लिए, रजिस्टर # एफएफ का उपयोग करने के बाद, # 00 फिर से उपयोग किया जाएगा। उसी तरह, वैश्विक चर के सूचकांक भी बढ़ते हैं, और क्रम में जाते हैं - पहले घोषित चर में सूचकांक n, अगला n + 1 होगा।

एक साधारण चर और एक सरणी के बीच एक बड़ा अंतर भी है: यदि एक साधारण चर में केवल मान ही होता है, तो सरणी में संरचना के लिए एक लिंक होता है जिसमें सरणी के आकार के बारे में डेटा होता है और एक मेमोरी क्षेत्र के लिए एक लिंक भी होता है जिसमें सीधे सरणी डेटा होता है। सरणी, बड़े सूचकांकों में लिखते समय शुरू में छोटा आकार, वास्तविक बनाता है, हालांकि, सरणी का आकार 8222 तत्वों तक सीमित है।

भेद्यता ही

JASS में कोड के रूप में इस तरह का एक प्रकार है, यह एक फ़ंक्शन के लिए एक रिश्तेदार सूचक है, इसका उपयोग किसी फ़ंक्शन को कॉलबैक पास करने के लिए किया जाता है, उदाहरण के लिए, किसी निश्चित फ़ंक्शन को कॉल करने के लिए इस तरह के ऑब्जेक्ट का उपयोग करने के लिए। सिद्धांत रूप में, इसके साथ कोई गणितीय संचालन नहीं किया जा सकता है, और यह केवल एक शाब्दिक द्वारा निर्धारित किया जाता है, उदाहरण के लिए कोड c = फ़ंक्शन फू। और यह सीधे उस मेमोरी की ओर इशारा नहीं करता है जहां स्यूडोडकोड स्थित है, लेकिन केवल पूरे प्रसंस्करण स्यूडोकोड की शुरुआत से इंडेंट सेट करता है। और यहाँ बचाव के लिए वापसी बग आता है:

 function StubFunc takes nothing returns nothing endfunction function I2C takes integer ic returns code return ic return (function StubFunc) //   ,    . endfunction function C2I takes code c returns integer return c return 0 endfunction 

ऐसा कोड एक नंबर के रूप में स्थानांतरित फ़ंक्शन के पहले ओपकोड के सापेक्ष पते को वापस कर देगा।

 function HackArrayW takes nothing returns nothing local code ctcode = I2C(C2I(function zOmgFunc2) + 1) // ... 

और इसलिए एक फ़ंक्शन को कॉल करना संभव है, या न केवल स्वयं, बल्कि एक ऑफसेट के साथ। इसके अलावा, क्रम में चर घोषित करके और अर्थहीन असाइनमेंट ऑपरेशन लिखकर, आप गेम को अपना विशेष छद्म कोड बना सकते हैं। वैसे, एक समान विधि का उपयोग एंटी-डीबगिंग के लिए किया जाता है जब कॉल निर्देश x86 असेंबलर में लिखा जाता है, और एक अन्य निर्देश पते के रूप में निर्दिष्ट किया जाता है, और इसके लिए संक्रमण किया जाता है। JASS में, यह कार्य इस तथ्य से सुगम है कि दुभाषिया, जब किसी अपरिचित निर्देश को पूरा करता है ... बस अगले के लिए कूदता है! तो, इस कोड के लिए धन्यवाद, हम एक साधारण चर के मान को एक सरणी चर और इसके विपरीत में असाइन कर सकते हैं ।

यह ज्ञात है कि खेल एक पुस्तकालय का उपयोग करता है जो पैच के साथ अद्यतन नहीं करता है - Storm.dll। इसके पता स्थान में, आप वह डेटा पा सकते हैं जिसका पता किसी सरणी चर को सौंपा गया है, और यह पता चलता है कि हमें एक सरणी मिलती है जिसका डेटा विशेष रूप से आवंटित जगह में नहीं होगा, लेकिन सीधे प्रक्रिया के निष्पादन योग्य कोड में होगा। यह आवश्यक है कि आकार का क्षेत्र बड़ा हो और वास्तविक पते का उत्पादन तब नहीं किया जाता है जब उच्च पते पर कुछ लिखने की कोशिश की जाती है, और दूसरा क्षेत्र उस पते को इंगित करता है जिस पर हम लिखने जा रहे हैं। परिणामस्वरूप, मेमोरी को लिखना और पढ़ना संभव हो जाता है। इस तरह एक सरणी के लिए एक सरल लिखने:

 function Inj_PrepareInjector takes nothing returns nothing set zg0oI[0x200]=0xE8575653 set zg0oI[0x201]=0x000000F3 set zg0oI[0x202]=0x9F2DC88B set zg0oI[0x203]=0xFF000006 set zg0oI[0x204]=0x72656BE0 // ... 

वांछित पते पर प्रक्रिया मेमोरी को लिखेंगे। फिर तकनीकी मामला ... भेद्यता के लेखक ने एक स्टैक पाया, और उसमें कुछ लिखा, जिसे नियंत्रित करने की अनुमति दी। अगर मुझे सही याद है, तो मैं अपने * .dll को मानचित्र के संग्रह में डाल सकता हूं, लेकिन कोड को स्क्रिप्ट में भी एन्क्रिप्ट किया जा सकता है।

कहानी

कुछ समय के लिए हमने चर्चा की कि खोज कैसे करें। कार्डों पर वायरस रखना आग लगना था। मैं दो कारणों से खेल की कार्यक्षमता का विस्तार करने के लिए एक पुस्तकालय विकसित नहीं करना चाहता था: संभावना है कि भेद्यता को कवर किया जाएगा और दुरुपयोग की संभावना (फिर, किसी को पता चलेगा कि यह कैसे काम करता है और वायरस लिखना शुरू करता है)। कोई फायदा नहीं मिला, कुछ और लोगों को नक्शा दिखाया गया। और ब्लिज़ार्ड को मिला। और फिर सर्कस शुरू हुआ - वे अभी भी समझ नहीं पा रहे थे कि भेद्यता कैसे काम करती है। सबसे पहले, उन्होंने Battle.net में मानचित्रों की मेजबानी के तकनीकी साधनों पर प्रतिबंध लगा दिया जिसमें ऐसे कार्य शामिल थे जो कोड प्रकार को वापस कर देते थे। इससे समस्या हल हो गई, लेकिन भाषा की कार्यक्षमता पर अंकुश लगा।

मैंने अपना पैच लिखने का काम किया, नतीजतन, एक छोटा कार्यक्रम दिखाई दिया जिसने खेल के पुस्तकालयों में से एक की नकल की और इसे अधिलेखित कर दिया ... 5 बाइट्स। हाँ, यह एक पूर्ण मोक्ष था। और मैंने किया (पता मुझे भेद्यता डेवलपर द्वारा सुझाया गया था) टाइप कोड के प्रसंस्करण को रोकना। खेल लगातार एक वास्तविक पते में ओपकोड के रिश्तेदार गेमिंग पते (रिटर्न बग का उपयोग करके प्राप्त किया जा सकता है) के रूपांतरण का उपयोग करता है, और मैंने बस ऑपरेशन और 0xffffff88 को जोड़ा, बस गलत छद्म कोड को निष्पादित होने से रोका। मैंने इसे WarCraft 3 के लिए मानचित्र बनाने के लिए समर्पित मंचों पर पोस्ट किया। और मैं उस कॉटेज में गया, जहाँ मेरा कोई इंटरनेट नहीं था। मैं समझता हूं कि मैंने गैर जिम्मेदाराना कार्रवाई की;)

क्या किसी ने खेल के डेवलपर्स से संपर्क करने की कोशिश की, थोड़ी देर बाद उन्होंने पैच 1.24 जारी किया, जिसने रिटर्न बग को पूरी तरह से प्रतिबंधित कर दिया और अपने कानूनी समकक्ष को जोड़ा, जिसने वास्तव में उलटा परिवर्तनों की अनुमति नहीं दी - अब सूची से एक वस्तु प्राप्त करना असंभव हो गया। नतीजतन, कार्ड का एक हिस्सा जो JASS में समझदारी से लिखा गया था - जल्दी से कार्यों को प्रतिस्थापित कर दिया और सही तरीके से काम करना शुरू कर दिया, जबकि दूसरे भाग में, जो संख्या से वस्तु तक व्युत्क्रम का उपयोग करता था, टूट गया। दृश्य ऐड-इन पर बनाए गए नक्शे इस घटना पर बिल्कुल भी प्रतिक्रिया नहीं देते हैं। सामान्य तौर पर, बर्फ़ीला तूफ़ान ने सबसे इष्टतम विकल्प नहीं चुना, और संगतता को भी तोड़ दिया।

निष्कर्ष

आखिर में मैं क्या कहना चाहता हूं?

अनिर्दिष्ट सुविधाओं का उपयोग करते हुए, आपको सावधान रहना चाहिए और समझना चाहिए कि बेंच को कवर किया जा सकता है।

उपयोगकर्ताओं के करीब होने के नाते, आप अपने जीवन को सरल बना सकते हैं - भेद्यता के लेखक को पहले ब्लिज़ार्ड तकनीकी समर्थन के साथ संवाद करने का एक नकारात्मक अनुभव था, जो उन्होंने सभी समस्याओं को हल करने के लिए खेल को फिर से स्थापित करने का सुझाव दिया। और वह उन्हें भेद्यता की सूचना नहीं देना चाहता था।

और सबसे महत्वपूर्ण बात: हमेशा , हमेशा , हमेशा इनपुट की जांच करें । भेद्यता नहीं होती अगर वापसी बग को इंजन में निर्मित फ़ंक्शन द्वारा तुरंत बदल दिया गया होता। यह नहीं होता अगर दुभाषिया किसी अज्ञात ओपकोड पर ठोकर खाने से घबरा जाता।

पोस्ट किया गया:

habr.com/ru/post/148543/#comment_20641885