改造対策がしてあるゲームの改造

今回取り上げるゲームは「とびでばいん」と「とびまな」です。この名前でぴんと来た人もいるでしょう。
そう、あのD+VINE[LUV]を作ったアボガドパワーズのゲームです。ゲームの種類は違いますが、D+VINE[LUV]の続編のような形になっています。
個人的には、あいかわらず良くできているゲームだと思います。

そして、あのD+VINE[LUV]の改造対策を見る限り、今回の「とびでばいん」も改造対策がされていることが予測できます。実際に対策がされていますし。
ちなみに、とびまなは、とびでばいんと同じシューティングゲームですが、サービス版のような形で、キャラクターが違ったり、一面しかなかったりするゲームです。
どちらも同じアプローチで解析できますので、今回はとびでばいんを使って解析します。

さて、HPでもbombでも構いません。増やしたり、減らしたりして増減サーチです。これについては、今まで何度も書いてきたので、もう良いでしょう。普通にサーチすればヒットするはずです。
サーチの結果を見ると、bombが555E50と562F2Cに、HPが555E54と562F28に格納されているようです。とりあえず、bombの方から、改造してみることにしました。

555E50の値を適当に増やしてみます。ゲームに戻ると、いきなり終了してしまいました。頼もしいですね。期待通り改造対策がしてあります。
もう一度ゲームを立ち上げてみます。どうやら、アドレスが変化するパターンではないようですね。先ほどと同じ値に格納されていました。今度は、562F2Cを書き換えてみます。ゲームは終了しませんが、特に変化もありません。こちらは無視して良さそうですね。

ここで考えられるのは、
①555E50がbombの値の格納場所である
②別にもう一カ所格納場所（あるいはチェックルーチン）があり、そこの値と整合性がなければ、強制終了させるという措置をとっている
ということです。

ここからは推測になりますね。一番単純に考えると、持っているボムの数と使ったボムの数を調べるという方法があります。このあたりは勘になりますが‥‥。
この方法だと、bombの値が09→08になると、使った数は、0→1になるわけです。これは、増減サーチを逆に（つまり、減ったときに増加を）使えばすむ話です。

運良く、推測通りでした。その結果、557B0は初期値がF6で、bombを一つ使うごとに、値が一つ増えていきます。
早速、試してみましょう。bombを一つ使うと555E50が09→08に変化しました。一方、5557B0がF6→F7と変化しています。
さて、両方の値を一つ戻してみます。555E50に09、5557B0にF6を入れてみます。bombが一個増えて元の9個になりました。強制終了もしませんね。

HPも同様にサーチすると、
bomb: 5557B0%f6
HP: 5557B4%f6
bomb: 555E50%l9
HP: 555E54%l9
というコードになります。

しかし、しばらくゲームを進めると、突然強制終了することがあります。どうしてでしょうか？
それは、5557B0%f6と555E50%l9が、（とびでばいんに対して）同時に実行されなければならないからです。
「とびでばいん」のプログラムが5557B0と555E50を比較する瞬間に整合性が取れてなければならないのです。
例えば、次の様なタイミングで、DBxSTANDのコードが実行されると、強制終了されるわけです。
①初期値
5557B0=F7
555E50=08
②DBxSTANDが5557B0にF6を書き込み
③プログラムが5557B0と555E50の整合性をチェック

つまり、DBxSTANDが全く同じタイミングで両方のアドレスに書き込みをしてくれればいいのですが、実際にはそううまくはいきません。更新頻度にはタイムラグが生じるのです。

これを解決するためには、プログラムを改造するしかありません。フルスクリーンのゲームでは、DBxSTANDのHBPが使えないので、逆アセしてリストを見てみましょう。
（私は実際にはデバッガを使って解析していますが、デバッガについて解説するのは面倒なので、他にも説明しなければならないことが山ほどあるので、逆アセのリストからのアプローチで、解説します。関心のある人はデバッガを使ってアプローチしてみてください。ただし、directXを使ったゲームなので、いわゆるシステムレベルデバッガ、カーネルモードデバッガを使用しなければいけません。例えば、SoftICE、TRW 2000があります。）

では、逆アセのリストを見てみましょう。まずは、bombのアドレスである555E50がでてきている場所をサーチしましょう。使っているツールによっては、多少表現が違うかも知れませんが、意味は同じですので、内容を理解してください。
上から順にサーチしてみますと、見つかりました。とりあえず、みてみましょう。
（ちなみに、DBxSTANDではF7D0をNOP EAXとしています。）

一行ずつ見ていきましょう。

右の欄が私の解説です。ま、こんな感じですね。ORやNOTといった論理演算については、しっかりと理解しておいてください。
つまり、ここは、5557B0と555E50の整合性をチェックして、整合性が取れてなければ、EAXにFFFFFFFFを入れてリターン、取れていれば次へ進むという処理をしています。ここを改造すれば、良さそうですが、とりあえず458623にジャンプしているので、458623を見てみましょう。これは、HPのようですね。

同じような処理をしています。しばらく追っていくと、

という部分にでました。一番右の欄が私の解説です。
ここの部分は、爆弾が９個以上の場合は、９個にするといった処理をしています。
９個未満の場合は、45955Fに飛ぶようになっています。ちなみに、９個以上でも９個にした上で、45955Fにいっていますね。

どうなっているのかを見ると、

ここは、555E50の値を元に5557B0の値の整合性を取っています。

さて、改造を考えるのはこれからです。いくつか思いつきますね。
ニーモニックを言葉に直すと、

①９個以上かどうかを調べ
②９個未満なら整合性を取る
③９個以上なら、９個を入れて、整合性を取る

というわけです。

改造方法としては、例えば、０個以上かを調べ、０個以上だったら９個にするといった方法があります。
cmp eax, 00000009をcmp eax, 00000000にするわけですね。
また、９個以上かどうかにかかわらず９個を入れるという方法もあります。
jbe 0045955Fをnopにするわけですね。

どちらでも良いのですが、私は、ジャンプ命令を潰すことにしました。

BOMB減らない:459553=760A-9090

HPも同じように改造できます。また、「とびまな」もこの部分は同じですので、同じ方法が採れます。
「とびでばいん」と「とびまな」のコードはこちらです。
なお、「とびでばいん」の炎、風、雷は減ることがありませんので、一番最初に一度入れるだけで効果を発揮します。
そこで、プログラムの改造コードは載せていません。こちらも同じアプローチで改造できますので、興味のある方は挑戦してみてください。