这是星际争霸的一个外挂，穿山甲1.xx-2.xx的壳已经脱了，peid显示Borland C++ 1999，界面是VCL加了一个皮肤库。

外挂使用方式是首先注册一个用户，然后购买充值卡，输入充值卡号对账户进行充值。对账户和充值卡验证采用http Post传参，服务器返回结果进行验证。服务器的返回结果就是弹出对话框里显示的内容本身，比如点登录按钮后，传回来的Http载荷就是
用户: hsluoyz
注册日期: 2012-06-26 12:54:49
帐户信息: 账户注册成功
使用方法请查看:
7faK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4y4U0K9$3W2F1k6#2)9J5k6h3y4F1i4K6u0r3k6Y4u0W2k6g2)9J5k6h3S2@1L8b7`.`.

点充值按钮，传回来的就是
此卡号不存在。

我通过dede+PE Explorer找到了按钮事件的所在。我以为验证就在这里，od调试一天后发现弹出的对话框貌似只是照搬服务器返回结果，可能没有对这个返回值做什么解析。后来看到它使用步骤里有一句“进入游戏后，请稍微等待10-30秒”，我想功能上的话应该不需要10s吧，难不成就是为了防爆破，把验证放在timer实现？打开星际后，发现有了新的http请求，果然有验证，请求到50bK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3#2A6L8Y4W2S2L8#2)9J5k6h3y4G2L8g2)9J5c8Y4y4U0i4K6u0r3x3U0p5J5x3o6t1@1y4#2)9J5k6h3q4K6M7l9`.`.
Post参数是username=hsluoyz&password=123456&seed=0cf369be258ad1470cf369beE7689878&v=4E6951526A01FF10A1D0A9640085C074098B480857516A03FF10A1D4A9640085
返回值是一堆乱码。

http://bbs.pediy.com/showthread.php?t=128871
最后才在pediy搜出这位大大的文章，对外挂结构有了一个了解，他破的是1.9j版本，但应该区别不大。文章说scHelper.king里面是验证，但是是带壳调试的，vm那块就是壳的缘故吧，真心有点看不懂，但是我这里壳已经脱掉。我想问问接下来应该如何分析呢？咋定位到验证代码呢？

程序下载地址：
ba7K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5I4y4g2)9J5k6h3y4G2L8g2)9J5c8X3k6A6L8r3g2Q4x3V1k6T1k6h3p5$3L8i4q4I4z5q4)9J5x3#2!0q4y4W2)9&6z5q4)9&6c8W2!0q4z5g2)9&6z5g2)9^5y4g2!0q4z5g2)9&6b7#2!0n7z5q4!0q4y4q4!0n7z5q4!0n7b7U0q4Q4x3X3f1&6e0q4)9J5k6i4u0S2M7R3`.`.

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课