Cocos2d_Lua游戏资源解密的方式

# 简述
 > 按现在来说，大多数手游的开发框架有两种：`Cocos`与`与Unity`，我们要识别游戏是什么框架开发的是可以根据文件特征进行初步的判断。
 
 关于特征定位，大多都是找到lib文件夹查看so文件，例如，**Cocos特征：**
 - 1、libcocos2dxxxxx.so
 - 2、libgame.so
 - 等等
 
** Unity特征：**
 - 1、libil2cpp.so
 - 2、libmono.so
 - 等等
 而本篇文章主要涉及到的lua文件、图片文件的解密逻辑均在`libcocos2dlua.so`，该游戏也是使用`cocos`框架进行开发。

# Lua脚本的解密过程分析
Lua的脚本存放大多在：`assets\src`中
![](http://www.bugsafe.cn/usr/uploads/2025/03/338113051.png)
随便打开一个Lua文件，内容都是加密的
![](http://www.bugsafe.cn/usr/uploads/2025/03/1099559061.png)
在`cocos`框架中，Lua文件的解密都是由`xxtea`进行加解密，正常情况下，只要找到了`xxtea key`就可以实现Lua的解密。
`xxtea`的特征很明显，就是文件头信息中，会有一个签名特征，比如该游戏的签名特征就是：`ofi89s16HG@_g56`
![](http://www.bugsafe.cn/usr/uploads/2025/03/867802002.png)
接下来，在`lib`文件夹中找到`libcocos2dlua.so`文件，加载到ida中，加载后，直接在字符串窗口中，搜索这个Sign签名，基本上解密的key，都是跟sign连在一起的。
![](http://www.bugsafe.cn/usr/uploads/2025/03/1630971116.png)

到这里其实已经可以确认key，如果还不确认，可以定位到具体函数内去分析。
![](http://www.bugsafe.cn/usr/uploads/2025/03/1680490292.png)
![](http://www.bugsafe.cn/usr/uploads/2025/03/1266982336.png)
对应的key为：`I5@6aG69_7gO9aW`
直接写个python脚本进行批量解密
```
def lua_decode_folder(input_folder, output_folder, xxtea_sign, xxtea_key):

for root, dirs, files in os.walk(input_folder):
        # 计算相对路径，并在输出目录创建相同的结构
        rel_path = os.path.relpath(root, input_folder)
        target_folder = os.path.join(output_folder, rel_path)
        os.makedirs(target_folder, exist_ok=True)

for filename in files:
            input_file_path = os.path.join(root, filename)
            output_file_path = os.path.join(target_folder, filename)
            print(input_file_path)
            print(output_file_path)
            try:
                with open(input_file_path, "rb") as orig_file:
                    encrypt_bytes = orig_file.read()
                    print(encrypt_bytes)
                    if encrypt_bytes.startswith(xxtea_sign):
                        decrypt_bytes = xxtea.decrypt(encrypt_bytes[len(xxtea_sign):], xxtea_key)
                        print(encrypt_bytes[len(xxtea_sign):])
                        with open(output_file_path, "wb") as new_file:
                            new_file.write(decrypt_bytes)
                    else:
                        print(f"Skipping {input_file_path}: Invalid signature")
            except Exception as e:
                print(f"Failed to decode {input_file_path}: {e}")
```
解密后的Lua文件：
![](http://www.bugsafe.cn/usr/uploads/2025/03/3833706264.png)

# 图片资源的解密过程分析
图片资源文件的解密过程会比Lua稍复杂些，但是只要大概了解cocos框架加载图片的逻辑后，可以通过函数快速定位到具体实现解密的逻辑。

还是在`libcocos2dlua.so`文件中，可以直接定位`cocos2d:: Image::initWithImageFile`函数。

![](http://www.bugsafe.cn/usr/uploads/2025/03/2577802133.png)
分析该函数时，可以看到关键的几个点，` v9 = (ZYDecodeImg *)ZYDecodeImg::getInstance(v5);`和`  ZYDecodeImg::gtd(v9, v10);`
通过函数名，可以判断出这大概是解密图片的关键函数，在执行完这两个函数以后，紧接着就是调用`v13 = cocos2d:: Image::initWithImageData((cocos2d::Image *)a1, v12, v11);`去完成图片的创建，因此可以判断解密逻辑大概就是`ZYDecodeImg`相关函数中。
我们先定位` v9 = (ZYDecodeImg *)ZYDecodeImg::getInstance(v5);`：
```
_QWORD *__fastcall ZYDecodeImg::getInstance(ZYDecodeImg *this)
{
  _QWORD *v1; // x19

v1 = (_QWORD *)ZYDecodeImg::mInstance;
  if ( !ZYDecodeImg::mInstance )
  {
    v1 = (_QWORD *)operator new(0x30uLL);
    v1[4] = 0LL;
    v1[5] = 0LL;
    v1[1] = 0LL;
    v1[2] = 0LL;
    v1[3] = 0LL;
    *v1 = 0LL;
    std::string::assign((int)v1, "89sgsdi_endPOi@fuakg482", 0x17u);
    std::string::assign((_DWORD)v1 + 24, "ighg57s98g_dug", 0xEu);
    ZYDecodeImg::mInstance = (__int64)v1;
  }
  return v1;
}
```
大概意思就是初始化了两个字符串，`89sgsdi_endPOi@fuakg482`和`ighg57s98g_dug`，根据经验看，这两个跟解密关联是巨大的，可能就是解密要用到的Key。
继续往下分析`  ZYDecodeImg::gtd(v9, v10);`函数。函数实现看着还是挺复杂的，但是在实际分析过程中，发现一个比较关键的点
![](http://www.bugsafe.cn/usr/uploads/2025/03/3903693225.png)
这部分代码中，可以看到是在做异或算法的操作，而且用到的key则是前面`ZYDecodeImg::getInstance`初始化的密钥`89sgsdi_endPOi@fuakg482`
也就是说，图片资源文件是通过`89sgsdi_endPOi@fuakg482`按字节进行异或加解密的，当密钥循环完，则会重头开始循环加解密，很典型的异或加解密操作。编写脚本完成解密，最后的效果呈现：
![](http://www.bugsafe.cn/usr/uploads/2025/03/862203475.png)

Poacher's Blog

信息安全梦开始的地方,菜鸡#

Cocos2d_Lua游戏资源解密的方式

添加新评论

最新文章