热血江湖 · 全量分析总报告

文件识别

导入表特征

启动流程（字符串 + 资源还原）

launcher.exe
  ├─① 读 launcher.ini          [YB_ONLINE] Name/Exec/VERSION/GROUP/Path/WRITELINK
  ├─② 读注册表 Software\KRGsoft\YBOnline\YB_ONLINE  +  SOFTWARE\WAYI\WSM
  ├─③ HTTP 拉公告 → hot.mangot5.com（内嵌 IE 控件 {8856F961-…} 渲染 notice01/02.html）
  ├─④ 版本校验 → hotsession.mangot5.com（包标识 "Yulgang_File_Update"）
  ├─⑤ 下载补丁 → 字符串指向 \downlog\ + temp.zip（实测未落地，见 §3）
  ├─⑥ 解压覆盖 \Client\
  └─⑦ runas 提权拉起 YGOnline.exe

界面与资源

• Msg.txt —— 全部 46 条中文提示文案外置在该文件（第 21 条「无法连接下载服务器。(查看服务器的 ID，PW)」曾误导判断为 FTP）
• STRING 资源内置英 / 韩 / 中三套语言；DIALOG 102 = 主窗口（IE 控件 + 进度条）
• DLGINIT 提供 800×600 / 1024×768 / 1280×1024 / 1600×1200 分辨率选项

exe 内硬编码的网络端点（仅这些）

exe 里硬编码的网页地址只有 4 条，全部 ASCII 明文：

公告列表实际抓到的内容（抓取当天 2026/09/17）

9/17(四)例行性維護開機公告   contentNo=70068   2026/09/17   ← 当天维护完刚开服
9/17(四)例行性維護公告       contentNo=70009   2026/09/16
9/10(四)例行性維護開機公告   contentNo=69978   2026/09/10
9/10(四)例行性維護公告       contentNo=69913   2026/09/09

页面实际跳出的域名分工

抓包时间 2026-09-17 16:17:55 – 16:19:21 ｜ 工具：Windows 内置 pktmon（NIC 层全包）+ 进程/连接/DNS 轮询

抓到的唯一一条游戏外联请求（完整报文）

GET /yg_patch/patch_645.zip HTTP/1.1
Accept: */*
User-Agent: NetGame                        ← launcher.exe 自己的 UA，确认由它发出
Host: patch-hot.mangot5.com.tw.wyjsq.com
User-Agent: xunyou.com                    ← ① 迅游代理插入
Connection: Keep-Alive
Cache-Control: no-cache
User-Agent: xunyou.com                    ← ② 迅游代理又插一次（正常请求只有 1 个 UA）

服务器响应头（暴露整条中转链路）

HTTP/1.1 200 OK
Content-Type: application/zip
Content-Length: 15306429
Server: openresty
X-SteamCache-Processed-By: vm-24-118-ubuntu.xunyou.com   ← 铁证：迅游缓存节点
EO-Cache-Status: HIT
X-Client-Host: patch-hot.mangot5.com.tw.wyjsq.com
Last-Modified: Thu, 17 Sep 2026 06:03:30 GMT              ← 补丁当天早上刚生成
Cache-Control: max-age=3600

正文首字节 PK\x03\x04，是真 ZIP，首个条目 = Client/YBdrop.cfg（解包即覆盖客户端目录）。

启动全过程时间线

流量全景

DNS 对比

清单结构

HTTP/1.1 200 OK
Content-Type: application/xml
Server: openresty
Content-Length: 109067
Cache-Control: max-age=3600
EO-Cache-Status: HIT        ← CDN 缓存快照

<ListBucketResult><Name>happytuk-tw-hot</Name><IsTruncated>false</IsTruncated><MaxKeys>1000</MaxKeys>
  365 个 <Contents>，每条含 Key / LastModified / ETag / Size / Owner：
    - 7z.exe                                 1,589,510 B
    - yg_patch/                              （目录）
    - yg_patch/patch_282.zip … patch_644.zip （363 个补丁）

补丁发版节奏（LastModified 实测）

→ 每周四发版；超过一个月没新补丁即可判为停更。

补丁地址从哪来？

V1 的致命缺陷

V2 三级判据（全部实测、全部 ASCII）

易语言实现要点

• 正文获取：InternetOpenUrlA + InternetReadFile（V1 只有 HttpQueryInfoA，拿不到正文）
• 绕过缓存：InternetOpenUrlA 的 flags 传 -2147483648（INTERNET_FLAG_RELOAD），否则读到 1 小时前的旧清单
• 超时设置：InternetSetOptionA option 2=CONNECT / 3=SEND / 5=RECEIVE，否则默认 30 秒卡界面
• 读正文时在 已读 位置补 0 终止符再 指针到文本，避免读到缓冲区尾部残留
• 语法坑：易语言的 .如果真 不能配 .否则（只有 .如果 可以）—— 4 层嵌套时极易写错

实测预期输出

补丁服务器  ● 已开服  最新v645  清单日期2026-09-10  共363个补丁  本地v645 已最新 (清单为CDN缓存)
公告站      ● 已开服  4条公告  最新公告2026/09/17
版本服务器  ○ 直连超时  (内地直连被拦, 需加速器; 不影响开服判定)
本地版本    v645
综合结论    ● 服务器正常运营中

加密算法（已完全破解）

plain[i] = cipher[i] ^ KEY[i % 150]        // 150 字节常量密钥表
KEY 位置：YGOnline.exe .rdata  VA 0x10705A0（文件偏移 0xC6EFA0），首 4 字节 2D 97 84 F2
验证：7D 85 84 F2 ^ 2D 97 84 F2 = 50 12 00 00 = 小端魔数 0x1250

• 29 个 .cfg 被加密（客户端共 153 个）→ 解密后为 Big5 繁体文本
• 产物：D:\rxjh\cfg_decrypted\（29 繁体）+ cfg_decrypted_sc\（29 简体 UTF-8）
• 工具：D:\rxjh\rxjh_cfg_decrypt.py（自解析 EXE 取密钥 + 解密 + --to-simple）
• 弯路记录：单字节 XOR / 加减常量 / 差分链式 / zlib 全部无效，必须走 EXE 取密钥表

CFG 二进制格式

产出的数据表

实测对照

解法：rxjh_text_dec.py（三态判定模块）

• CP949 判为"真韩文"（有谚文 + KS 常用音节占比 ≥ 0.6 + 无兼容字母）→ 取韩文
• 否则走 Big5 路径 → 再试 UTF-8 恢复 → 都不行则逐字节修正
• 必须带文件级偏好：外观系列 prefer='korean'，其余表 'chinese'（纯字节层无法区分）
• 高频韩文对照：등급=等级 / 남=男 / 여=女 / 도=刀 / 검=剑 / 창=枪 / 궁=弓 / 공통=共通

目标进程

对象 / 玩家数组结构（CE 实地验证）

数组基址         = 0x03BE3E68
槽位 k 的地址     = 0x03BE3E68 + k * 4      ← 每槽 4 字节，存对象指针；k 从 8000 起
对象 (obj) 结构  :
    +0x08  = 对象类型    0x31=人物  0x18=物品  0x20=?  0x22=怪物
    +0x0C  = 对象ID      实测 == 槽位号 k（34/34 全部满足）
    +0x14  = 全服ID      = 邀请组队封包目标
    +0x18  = 名字（BIG5 内联串）

其余数组

角色基址 / 背包基址 / 队员基址 / 技能 / 状态 / 快捷 / 装备 / 仓库 / 聊天 / 地图ID 等在 31007 模块里的值同样可能已过期， 本轮 CE 只坐实了对象数组基址。权威途径二选一：①CE 指针扫描逆推 ②解密辅助的 Update.dll[data]（运行时下发的当前版本基址，最准）。

mov  ecx, [YGOnline.exe + 37E5FC4]     // = 0x4DAC5008，助手管理对象
push 0                                 // arg2
push <命令码>                           // arg1（如 0x31 对应某个按钮）
call YGOnline.exe + 63D8C0             // 0xA3D8C0 = 真·总调度器（thiscall）

链路还原

UI 按钮点击
  → call 63D590(ecx = 0x4DAC5008, arg1 = 0x3F4, arg2 = 0x31, arg3 = 0)
      → case 0x3F4
          → call 63D8C0(arg1 = 0x31, arg2 = 0, ecx = 0x4DAC5008)

本次多轮分析中，后一轮实测推翻了前一轮静态推断的地方，逐条列出以备查：

本机环境坑

• PowerShell 工具 不回显 stdout（只给 exit code）→ 输出必须重定向到文件再 Read
• Bash 默认 PATH 缺 coreutils → 需 export PATH="/c/Windows/System32:<managed-python>:…PortableGit…/usr/bin:/usr/bin:/bin"
• reg.exe 在程序黑名单中禁止调用；grep -a -o -E 在本环境报错 → 改用 Python 做字符串搜索
• Python re 的 bytes 模式不支持 \uXXXX 转义
• PE 资源目录解析：OffsetToData 高位置 1 表示指向子目录（需递归），清 0 才是指向 DATA_ENTRY

无 Wireshark 时的抓包工作流

1. pktmon start --capture --pkt-size 0 --comp nics --flags 0x012 -f <绝对路径>.etl（管理员，立即返回）
2. 轮询脚本每 0.5s 跑 tasklist /fo csv /nh + netstat -ano + ipconfig /displaydns 对比基线
3. pktmon stop → pktmon etl2pcap x.etl -o x.pcapng → 自己写 Python 解析 pcapng
4. 关键：pktmon etl2txt --brief 只输出包头不含 payload，搜 HTTP 关键字必然为空，必须走 pcapng
5. pktmon list --all 只有 NIC 组件、无 loopback → 抓不到本地代理的明文