手游2048破解实战教学文档

引言

本教学文档旨在通过破解2048手游来入门游戏破解技术，重点学习ptrace注入和inline hook的组合使用。文档将详细讲解从逆向分析到实际破解的完整流程。

游戏玩法分析

2048是一款数字合并类游戏，核心玩法：

• 玩家通过上下左右滑动屏幕移动数字牌
• 相同数字的牌相遇时会相加合并成一张更高数值的牌
• 游戏目标是通过不断合并最终得到2048数字牌

破解思路分析

通过逆向分析，我们提出以下几种破解方案：

1. 破坏计算逻辑：修改游戏规则，使不相同的牌面也能相加
2. 修改加法运算：使任意两个牌面相加直接得到2048
3. 直接生成2048牌：修改牌生成逻辑，直接生成2048牌
4. 修改通关条件：绕过2048牌面要求，直接触发通关

逆向工程实战

1. 文件结构分析

游戏使用Cocos2d-x引擎开发，主要逻辑在Native层：

• APK中关键文件：lib/armeabi/libcocos2dcpp.so
• Java层仅包含UI显示代码

2. 关键类定位

使用IDA Pro进行逆向分析步骤：

1. 搜索游戏相关字符串（如"win"、"game over"）
2. 通过交叉引用定位调用这些字符串的类
3. 分析Playground类及其派生类PlaygroundController，确认其控制游戏核心逻辑

3. 牌生成逻辑分析

关键方法：

• Playground::addBoxRandom - 随机位置生成新牌
• Playground::addBoxAtIndex - 指定位置生成牌
• Playground::addBoxAtIndexWithLevel - 带参数的牌生成方法

通过动态调试发现：

• addBoxAtIndexWithLevel参数：
  • r1：牌位置（0-15对应4x4网格）
  • r2：2的指数幂，决定牌面数值（2^r2）
  • 修改r2=0xB（2^11=2048）可直接生成2048牌

外挂实现方案

方案1：Inline Hook修改牌面数值

实现流程

1. 使用ptrace注入so到游戏进程
2. 对addBoxAtIndexWithLevel进行inline hook
3. 在hook函数中修改r2寄存器值控制牌面数值

关键代码实现

// 用户自定义hook函数
void EvilHookStubFunctionForIBored(pt_regs *regs) {
    LOGI("In Evil Hook Stub.");
    regs->uregs[2] = 0x1; // 修改r2=1 (2^1=2)
    regs->uregs[3] = 0x0; // 修改r3=0
}

// Hook入口函数
void ModifyIBored() {
    void* pModuleBaseAddr = GetModuleBaseAddr(-1, "libcocos2dcpp.so");
    uint32_t uiHookAddr = (uint32_t)pModuleBaseAddr + 0xa1ce4; // hook点偏移
    
    InlineHook((void*)(uiHookAddr), EvilHookStubFunctionForIBored);
}

注入代码

int main(int argc, char *argv[]) {
    char InjectModuleName[] = "/data/libIHook.so";
    char RemoteCallFunc[] = "ModifyIBored";
    char InjectProcessName[] = "com.estoty.game2048";

    pid_t pid = FindPidByProcessName(InjectProcessName);
    inject_remote_process(pid, InjectModuleName, RemoteCallFunc, NULL, 0);
    return 0;  
}

其他可行方案

1. Hook随机数函数：hook arc4random，使addBoxAtIndex总是返回0，保证只生成2点牌
2. Patch方法参数：直接修改_ZN3Box15setCurrentLevelEi的参数值
3. 组合Hook技术：异常hook+导入表hook结合使用

技术要点总结

1. CPU架构识别：

   • 通过android.os.Build.CPU_ABI或/proc/cpuinfo获取
   • armeabi-v7a对应ARMv7架构

2. Thumb-2指令集注意事项：

   • 混合4字节和2字节指令
   • 修改PC的指令地址必须4字节对齐
   • 跳转回原指令时地址需加1保持Thumb模式

3. Hook实现细节：

   • 指令覆盖时注意半条BL指令问题
   • 删除断点时不能重新初始化hook点信息

思考题

1. ARM与Thumb模式切换机制：
   • 分支跳转到奇数地址进入Thumb模式
   • 实际指令地址=目标地址-1
   • 跳转到偶数地址切回ARM模式

附录

相关资源

1. Android Arm Inline Hook
2. Android Inline Hook指令修复
3. ABI管理文档
4. InlineHook示例代码
5. ptrace注入示例代码

关键点回顾

1. 通过字符串交叉引用定位关键类
2. 动态调试验证参数作用
3. Inline Hook实现寄存器修改
4. ptrace注入流程
5. Thumb-2指令集特殊处理

本教学文档完整呈现了2048手游的破解过程，从逆向分析到实际代码实现，重点讲解了inline hook和ptrace注入技术的组合使用，可作为游戏破解入门的实践案例。