本文地址：http://www.njzty.com/article/410/

传奇公益服发布平台

*本文作者：吃荤的驴子，本文属FreeBuf原创奖励计划，未经许可禁止转载前言有江湖的地方就有纷争，同样有游戏的地方也就有外挂。对于传奇（传奇私服）这款在国内运营了接近10年的老牌端游，大家一定不会感到陌生。由于运营时间长，受众广，传奇相关的外挂私服也比比皆是。为了能够在众多的外挂私服中，获得广大的用户群，从而获得利益，有些恶意软件作者，就将目标瞄准到外挂私服上，下面就来详细介绍这类“借鸡生蛋”的恶意软件。1、恶意软件信息该恶意软件通过二次打包其他第三方外挂登录器，并携带自身恶意模块，生成图标同原外挂登陆器一致的恶意程序。当该恶意软件运行的时候，会释放并启动一个名为“Reality.log”的程序，其实这个文件才是真正的外挂登陆器，同时也会释放运行恶意模块，运行效果如下图所示。通过这种借鸡生蛋的方式，恶意软件作者不需要自己去开发维护外挂登陆器，直接借用第三方程序的用户来发展自己的肉鸡获取利益。该类恶意程序最早出现在2015年10月，至今共发现其相关的恶意打包程序约160个，期间该类恶意程序一直持续更新，均伪装成传奇外挂登陆器，包括但不限于将夜传奇辅助，火云辅助，创界辅助，风华辅助，天堂辅助，契约辅助，盘龙登陆器，咸鱼DOF登录器，魔剑传奇登录器，小狐狸登录器，小三传奇登陆器，娱乐传奇登录器，昊天登陆器等。其主要功能演变如下图所示。 2、背景信息该类恶意软件主要是通过恶意引流推广和DDOS攻击来获得利益。通过技术手段恶意锁定用户的浏览器主页为自己的导航推广，当“肉鸡”积累到一定程度的时候，每天都会产生比较可观的利益。同时通过篡改hosts文件，劫持竞争对手的私服网址，引流到自己的网站，将竞争对手的用户转化为自己的用户。在外挂私服这种不受法律的黑色灰色产业中，DDOS是很常见的。从业者经常利用“肉鸡”对竞争对手进行DDOS攻击，使竞争对手的服务器不能正常工作。对于游戏提供商来说，这几乎是致命的，一旦服务器遭受攻击宕机，很容易就会导致用户的大量流失。甚至有专门的网络敲诈者进行“黑吃黑”，通过恶意攻击私服服务器，敲诈私服从业者提供高额的“保护费”。3、基本流程下面以这款名为“盘龙登陆器”为例，分析该恶意软件的基本流程，如下图所示。该私服登陆器运行之后，在释放运行真正的登陆器Reality.log的同时，会释放Intel类模块和Winnet类模块，Intel类模块主要负责主页锁定，反调试检测以及下载DDOS模块，Winnet类模块主要负责LSP代理劫持，用于劫持Reality.log以及Reality.log的子进程的网络。4、详细分析该类恶意外挂登陆器主要分为三个恶意模块，分别是Intel类主页锁定模块，Packxx类DDOS模块以及Winnet类的LSP代理模块。下面分别介绍各个模块的具体功能行为。4.1Intel类主页锁定模块Intel类模块主要分为应用层Intel.exe以及驱动层Intel.sys两部分，其中驱动部分功能的正常运行需要应用层初始化数据来进行配合，如果单独运行驱动，将直接导致蓝屏，这也在一定程度上增加了分析的难度，值得一说的是，该恶意程序驱动层与应用层的通行采用的并非是常见的DeviceIoControl模型，而是采用的MiniFilter的通信方式。下面详细介绍它的主要功能。4.1.1 浏览器主页锁定主页的锁定是需要应用层和驱动层共同协作，这里采用了一种比较常见的“偷梁换柱”的方式。驱动层通过进程创建回调函数，得知如果启动的进程是浏览器进程，则会结束该进程，同时将浏览器启动的信息通过写文件的方式通知应用层，应用层获得浏览器的启动信息后，将需要锁定的主页以参数的方式跟在浏览器路径后面，然后打开该浏览器进程，正是通过这种方式来达到对浏览器主页的锁定。其相关实现如下图所示。4.1.2 Downloader功能应用层运行之后会开启一个线程，从网络上下载并运行Packxx类的DDOS模块。4.1.3反调试保护模块该恶意软件的反调试保护功能主要是在驱动层实现，主要包括以下几个方面。A）通过MiniFilter保护自身相关模块，禁止其他程序访问。B） 通过MiniFilter检测调试工具，包括OllyDbg，Pchunter，360tcpview，netstat等调试工具，一旦驱动成功运行，这些工具都不能获得正常的运行。C）通过注册表回调例程保护相关注册表项，禁止其他程序访问。D）通过对象注册回调函数保护自身进程不被结束。4.2 Packxx类DDOS模块Intel.exe从域名上下载的3个恶意模块，分别是Pack11.exe，Pack22.exe以及Pack33.exe，其中Pack11.exe和Pack22.exe均为DDOS模块，除了控制主机的域名不一样，其他功能一致，Pack33.exe为Hosts文件劫持模块，其具体功能如下。4.2.1 伪造系统进程伪造自身为svchost或则 dwm等服务进程，同时释放恶意模块伪装成spoolsv，wdm进程，确保DDOS模块能够获得执行。4.2.2 通过云端控制DDOS操作连接远程控制主机(dd.dresou.net，CC.345传奇.COM)，获取DDOS控制命令，执行相关的DDOS操作。4.2.3劫持hosts文件篡改hosts文件，劫持其他DNS私服的域名，使其访问自身的恶意网址。4.3 Winnet类的LSP代理模块Winnet类代理模块主要包括Winnet.exe，Winnet.dll以及LSP.dll三部分，其中Winnet.exe是代理服务器的主进程，主要负责中转网络数据，Winnet.dll主要是负责安装LSP服务以及初始化进程间通行的共享内存，常驻在Winnet.exe进程中，LSP.dll是网络劫持模块，被目标进程加载，劫持网络到Winnet.exe进程中。下面详细介绍4.3.1 安装LSP服务恶意程序将需要劫持的进程的Pid通过命令行的方式传递给Winnet.exe，Winnet.exe加载Winnet.dll，并调用其InitInstallLsp函数进行LSP服务的安装。4.3.2 启动端口监听随机监听本地的一个端口，并创建一块进程间共享内存，将监听端口存放在其中。4.3.3 存放代理服务器信息解析代理服务器信息，并将信息以及需要劫持的进程信息存放到共享内存中。

传奇挂机脚本

如果小伙伴们有什么好的想法或者建议可以在下方评论留言。

最爱小琪姐今天闲来无事就登了以前传奇网通区的大号看了看，一看到传奇上的号就触景伤情，一不小心哭了一下午，此贴用来分享一下我仓库里那几把带锁的装备(即使被淘汰了也不忍心分解)与你之间的故事吧!先说说我的情况，我是08年末-09年初接触的游戏，刚开始我只是玩企鹅与热血传奇和摩尔庄园的小游戏，那是我才刚上六年级..在接触传奇之前我一直一位传奇私服只有3个角色，鬼剑士、神枪手、格斗家、直到有一天我表哥来我家玩电脑，他说他在我电脑上下个游戏跟他同学玩，问我行不行，那时候我还是典型的兄控(现在好像还是)，我立马就答应了，当游戏下载完那一刻，熟悉的音乐，我还以为表哥也是玩得小游戏，我本来想在传奇小游戏上秀我表哥一把的(小孩子对兄长的炫耀那种)，然后我看到是表哥输上了他和密码，然后我家屏幕黑屏了(最初启动系统黑屏界面)我还以为中毒了，吓得我当时立马跑去了叔叔家(当时叔叔是上过大学的人，懂电脑)等我把叔叔叫回家时，哥哥已经开始创建角色了，哥哥第一个角色是鬼剑士，当时我看到选角色界面我都惊呆了，过去玩过企鹅与传奇的应该知道小游戏画质与传奇客户端画质相差有多大，起初我以为传奇只有哥布林、猫妖和牛头人的，我小时候手残，企鹅与热血传奇最多玩到第三关……直到一个月后，哥哥跟他同学组队(其实是他同学带他)那时候好像刷到了雷鸣废墟，哥哥的同学是个42级的大枪(我记得特别清楚)，当我看到大枪那么炫酷的技能，当天哥哥玩完了，我就死皮赖脸的缠着哥哥教我玩，我之前有小游戏的基础几乎一接触游戏就会了(我真聪明)，然后哥哥跟我讲了任务系统，商城，摆地摊的，收装备的，pk场总而言之跟我讲了很多东西，然而我就记住了商城，摆地摊，pkc和没事点点npc头上的黄卷子与白卷子(主线跟支线)。 我当时选的第一个大区，是山东二区，因为哥哥是山二的，所以我要紧跟哥哥的脚步……我第一个角色是格斗家(因为当时看她胸大我才选的)，当我玩到13级卡在了雷鸣废墟……10个复活币用了8个都没过...然后那时哥哥他同学转去山东一区玩了，哥哥也跟着去了山一，我一个人其他不懂图，(其实是想跟哥哥一起玩)，于是我也去了山一。我第二个角色是选的鬼剑士，当时我已经意识到胸大的女人刷图不一定厉害(就是受这种影响，我至今是吃狗粮的人)，我第一把爆的紫色武器是跟别人刷僵尸时爆的紫丸，当时爆了我立马解封拿在了手里。留在我带上的瞬间队里的队友说他180w收，当时金币那么难赚，我整整后悔一个星期，那把紫丸我一直用到了30级，以后一不小心扔商店了，于是我花光了当时身上所有的积蓄，在地摊买了把光剑，对了我转的是剑魂，就因为哥哥当时说了一句，剑魂开双刀快……我人生第一把光剑，买的时候是18级光剑(不知道怎么被腾讯改了)，当初我根本不知道有06拍卖行频道，傻不拉几的从地摊商那里花了10多万买了把0强光剑那把0强的暗淡荧光剑我正正用了半年，其实是因为我升到了30级有了拔刀斩开始自大了，然后卡在树精丛林半年，在卡在树精丛林里的这半年里我一有空就去格兰之森和洛兰带人，我有无色技能我就是叼，然而我攒了半年的前还不如被凯里坑的，第一次上10失败掉到0我的内心是极度崩溃的，我清晰的记得那晚夜黑风高，电闪雷鸣，我在被窝里哭了一晚上，(以前我一个星期只能玩一个小时电脑，所以一个月也就只能玩4个小时……钱虽然不多但是毕竟付出的都是心血)俗话说我卡在30级的半年里，干过不少大事呢，比如在我的带领下，村里的小孩都不玩红白机了，都让父母买电脑，不给买就去网吧第二件事就是我把本村的同龄人和隔壁村的同龄人，以及隔壁的隔壁村里的同龄人全部带进了传奇，什么?你不会下游戏，我给你下，什么?你下不上游戏，没事我有u盘，我拷给你。于是在我的带领下，我们不能和隔壁几个村的孩子受不了电脑的诱惑，有的去了网吧，有的缠着他爸妈买电脑，上学时讨论他传奇几级了，放学讨论什么职业用什么武器- -说实话当年凡是被我带进沟里的最后不是去了3+2 就是出去打工了在我卡在30级接近半年时，传奇迎来了外挂时代，什么西西啊，福娃啊，地火啊，装备强化修改挂，我都用过，花了半年我都没升到31，用了外挂10分钟不到就窜31了，作为代价我被封了7天，电脑查出n个病毒……我第一把紫光剑，这事我过生日那天，刚好升到了35级，哥哥送给我的礼物，那时候带着透明色的光剑感觉整个人逼格都高了，还有2%的石化记录，我不知道拿着这把剑去pkc屠了多少萌新我那把碧影凝光剑带了好久好久，终于在某一天升到了45，把背包和仓库以及身上的防具首饰全卖了，然后买了一把圣愈，于是乎传奇里又多了一个刷图早在boss图前等10几分钟的小剑魂下面这三个，全是我省吃俭用攒钱，去游戏买喇叭然后去拍卖行频道换钱攒的，我们上初一时，学校让你自愿上晚自习(不上也可以)，我为了攒钱买装备，妈妈每天就给1.5元的晚自习就餐费，我多数情况下都是买2个馒头一包辣条，每天能省5角前，有时候嘴馋了就买一瓶5角的饮料，差不多10个星期能攒够买10个喇叭，换100万，当初一把万仞350多万，我不知道省吃俭用了多久，干了多少家务才换来的。我的第一个师傅是一个萌妹子。(以前开过视频的)是个召唤师，师傅每天就干两件事，摆地摊和带我刷图。有时候也去带人赚钱，我依然记得我是怎么认识的师傅，那是我升到48的时候，准备一觉了，王的遗迹死活刷不过，只能找人带，那时骗子很多，我不知道被骗过多少次，有一天我起的很早凌晨3点半左右(妈妈3点去上班)，我走在暗黑城的路上，突然看到一个全身时装，有梵风衣，贤者，墨竹的召唤在摆摊，摊名是:买东西信誉带遗迹，当时我身上刚好没药了，就从她摊子里买了几瓶红蓝药，当时我就带着试试看的想法，私密了她，大概内容就是你能带我遗迹吗?可以，包车6w，于是我给了她6w她还真的带我去刷遗迹了，虽然第一次刷了30多分钟，其中15分钟是在图里聊天，那天早上我就加了她，(放在现在早去勾搭了)我就问师傅你是男是女啊，她给我发了语音，我们语音了一会，她说原来你是个小孩啊，姐姐以后就叫你臭臭了(不知道她当时怎么想的)，于是乎从此远古图或者普通图，多了这么一对师徒，每次刷图最少要20分钟，其中10几分钟是聊天的你红蓝恢复，有个免费带的师傅，但地摊卖不出去东西总是坑徒弟钱的腹黑无良的萌妹师傅。这套龙脊和这个火属性的cc是师傅出国留学脱坑前留给我最后的礼物，依稀记得，当是星期六的下午，我让师傅带我刷图，等刷完图又像往常一样的聊天，我说我要作远古1了，师傅要一起吗，她跟我发了视频，视频中她是一个皮肤白皙长的很漂亮双马尾的妹子，她说她要出国留学了，很感谢我陪她玩得日子，说她永远不会忘记我这个徒弟，她还说等她回来再一起玩游戏，直到有一天她号被盗了，可恶的盗号狗把我删了，就在那年我几乎每天都在试图再加上她的每次都是充满希望的等待添加好友成功，每次都是带着失望，点开她的空间看她的相册，从她出国那天至今已经有7年了，不知道她现在是否还健在?过的还好吗?还记得我这个蠢萌的徒弟吗?我人生第一个永久的称号，以前开魔盒都是给3天的，以前感觉能落雷，落冰，爆炸挺屌的，于是在我会用拍卖行后，用60块钱买了30个喇叭换了300万，买的3个碎片称号，设计图是开魔盒得到的话说你们还记得最早的克隆装扮吗，好像只要10块钱那个，那时我买不起只能错过了

热血传奇私服辅助挂机刷图,传奇刷图辅助