一起来编程吧 #1 直播型游戏平台的抓包

自从加入到程序员的大家庭，头发也白了，生活也不规律了，字也不会写了。当然文章也很少发，因为交流通过贴代码就完成咯 ^_^。

最近没怎么上 Steemit，就是因为在敲代码~ 今天看到好多群里的朋友 @justyy @oflyhigh @tvb 都在发些编程的文章，实在忍不住也想来上一篇。

代码架构是很早之前的啦~ 最初针对的是流行的某个在线Flash直播扑克游戏网站，类型就不说了，在国内经常被弹框。

代码的目的是得到每局游戏的扑克数据，这当然用分析数据包最好实现。我在Windows 下是通过Hook NewNtDeviceIoControlFile 函数的方式获取网络数据的。

NTSTATUS WINAPI NewNtDeviceIoControlFile(
    HANDLE FileHandle,
    HANDLE Event OPTIONAL,
    PVOID ApcRoutine OPTIONAL,
    PVOID ApcContext OPTIONAL,
    PVOID IoStatusBlock,
    ULONG IoControlCode,
    PVOID InputBuffer OPTIONAL,
    ULONG InputBufferLength,
    PVOID OutputBuffer OPTIONAL,
    ULONG OutputBufferLength
    )
{
    //先调用原始函数,得到数据包
    NTSTATUS Status;
    Status = pNtDeviceIoControl(FileHandle, Event, ApcRoutine, ApcContext,
        IoStatusBlock, IoControlCode, InputBuffer, InputBufferLength,
        OutputBuffer, OutputBufferLength);
    if (!NT_SUCCESS(Status))
    {
        return Status;
    }

    //检查是否为TCP收发指令
    if (IoControlCode != AFD_RECV)
    {
        return Status;
    }

    __try
    {
        //从InputBuffer得到Buffer和Len
        PAFD_INFO AfdInfo = (PAFD_INFO)InputBuffer;

        if (IoControlCode == AFD_RECV)
        {
            for (int i = 0; i < AfdInfo->BufferCount; i++)
            {
               // 具体分析数据包
                TryParse((BYTE*)AfdInfo->BufferArray[i].buf, AfdInfo->BufferArray[i].len);
            }
        }
    }
    __except (EXCEPTION_EXECUTE_HANDLER)
    {
    }

    return Status;
}