“温两碗酒，要一碟茴香豆”

Abobo


------

### 前因后果

服务器用的Windows server，跑了一些个人的项目。但是navicat外网连的速度奇慢，且数据库开外网访问不安全（？，遂想在服务器上装navicat premium，直接RDP操作数据库。然而激活时遇到了困难（问就是慈禧付费版），必须断网才能激活。于是在不小心下（？禁用了服务器的网络连接……

### 怎么办？

禁用掉网络之后服务器直接处于失联状态，AWS控制台可以控制但是不能连接，使用终端连接一直提示等待分配IP（我要是能用RDP连接还用你干嘛）

好在AWS提供免费的弹性IP，费了九牛二虎之力获取了弹性IP并附加到实例上之后终于可以用RDP连接了。这时候问题来了——我不知道密码！

要知道AWS的Windows Server实例会在创建时提供一个密钥对，只有提供这个密钥对的私钥才能解密出服务器密码。然而我的私钥已经在岁月和历史的长河中不知道丢掉哪个犄角旮旯里去了，这就陷入了一个两难的境地——我的电脑上保存的有原来的服务器登录的账号密码，但是原来的IP没法连接了。而弹性IP由于我不知道密码而无法连接。怎么办？怎么办？

### 稳啦，稳啦！

经过一番深思熟虑和博采众长（bushi，了解到Windows存储的RDP账密是可以提取出来的，只需要解密即可。

工具在这里：[ParrotSec/mimikatz (github.com)](https://github.com/ParrotSec/mimikatz)

解密方法大致如下：

1、使用mimikatz获取该文件的guidMasterKey值

```bash
mimikatz dpapi::cred /in:C:\Users\Administrator\appdata\local\microsoft\credentials\5CF098107895D40EC0A0FC47FB5BB7C7
```

2、通过guidMasterKey值找到内存中对应的MasterKey

```cpp
mimikatz sekurlsa::dpapi
```

3、最后打开mimikatz通过MasterKey值去解密凭据文件

```bash
mimikatz dpapi::cred
/in:C:\Users\Administrator\appdata\local\microsoft\credentials\5CF098107895D40EC0A0FC47FB5BB7C7
/masterkey:6b6ddf293f178cb282c2906c69d92226c137cca320aa6db2043708bc2755eba6cdd8faa89ef7dd656597da5346ecbb66aa57108247555e13caac0ff09ce2e1c6
```

关于手贱关掉服务器以太网这件事




---

虽然zygisk-il2cppdumper已经能基本满足需要，但动态dump出来的文件只能看个方法名，没有我们需要的dll、ida分析脚本等，所以还是需要使用il2cppdumper进行dump来获取。

准备工作：GG修改器、粥的客户端、IDA（用来看偏移）、il2cppdumper

### 1.GG修改器导出so

因为粥的so做了加密，直接打开so并不能找到所需要的字符串，所以需要从内存中导出

![image-20230724111535500](https://s2.loli.net/2023/07/24/F9tahKklpw35GqA.png)

![image-20230724111602691](https://s2.loli.net/2023/07/24/rDGqRBT4eL9ivnp.png)

### 2.IDA分析导出的so

把导出的文件丢进ida，加载完按shift+f12转到字符串页面，搜索global_metatdata.dat

按X查找引用，发现只有一个函数，直接跳转过去

![image-20230724112113752](https://s2.loli.net/2023/07/24/oISDlTbEWVux1zv.png)

对比源码可知dword_937B00C即为s_GlobalMetadataHeader，具体可参考此帖

https://www.52pojie.cn/thread-1748681-1-1.html

![image-20230724112348639](https://s2.loli.net/2023/07/24/zbmQWk5Zt49j8EM.png)

### 3.GG修改器跳转

使用偏移计算器，将libil2cpp.so的基址加上偏移找到s_GlobalMetadataHeader

![image-20230724112719660](https://s2.loli.net/2023/07/24/gJUclVuDEoB3rRK.png)

长按进行指针跳转

![image-20230724112751974](https://s2.loli.net/2023/07/24/oGcEF1qCkSWQ6be.png)

这些就是global-metadata.dat，把它dump出来，修改文件头为AF 1B B1 FA即可

### 4.il2cppdumper进行dump

具体方法不再赘述，这里简单讲一下怎么找il2CppCodeRegistration和il2CppMetadataRegistration

对比反汇编的源码和unity源码，可以找到它们所对应的值。在我的版本中，分别是dword_937AFFC

和dword_937B000。具体请自行分析。

找到这两个之后，在GG修改器用基址加上偏移定位到内存，再进行一次指针跳转即可得到

![image-20230724113408191](https://s2.loli.net/2023/07/24/VLwDz4ijx5QJOEg.png)

在il2cppdumper的Auto模式失效的情况下手动输入即可

![image](https://s2.loli.net/2023/07/24/l468yO13smEtrLG.png)

“温两碗酒，要一碟茴香豆”

关于手贱关掉服务器以太网这件事

il2cppdumper实战——XX方舟

利用cloudflare workers实现科学上网