前言

便携是一种趋势

网络服务是一种趋势

触摸屏的发展是一种趋势

..............

这些趋势发展到一定阶段就是在电影里看到的，一个电脑就是一个屏幕，而这些离我们并不远。

它是什么 

有这样一种服务，只要你是它的终端，你可以用它做很多事情，例如：
电脑，开机，进入一个数M程序的终端，当然这是一个服务终端，加载所需要的服务。
我需要浏览器，只需要 install xxx://www.servicegate.com/browser，然后start，一个浏览器界面就出来了，
我需要编辑word文档，google提供了这个功能。
我需要上QQ，install xxx://www.qq.com/qqservice，然后start，QQ界面出来了
我需要玩魔兽，没问题，只要暴雪提供了该服务，我们只需要一个install命令，就可以玩了。

这是一个全新的应用系统，它的一切都建立在网络的基础上，所有资源均来自网络服务提供商，这看起来像云计算，或是SaaS，没错，但是不管它像什么，它的目的只有一个，就是提供一个更安全，更方便，更快捷的应用平台。

它的操作就像你平时使用的操作系统一样，你甚至无法感觉到它的存在，因为在你开机的瞬间你就已经在使用它了。

它有什么好处

免费——它是免费的，你不需要为它支付任何费用就可以使用它
安全——在服务终端中（注意，它不是操作系统），它几乎取消了硬盘的概念，数据全部存储在你信任的服务供应商中，因此你不必为病毒或木马而发愁，当然也不需要买杀毒软件了。
快捷——不再花费大量的时间查看安装进度，然后再安装大量的驱动。
便携——就像你插入一个U盘，或是放入一个光盘，只要有网络的地方，你就可以使用它。
服务——你不再需要下载，安装等繁琐的操作，这一切都由服务中心来完成。

网络环境结构图

网络通信结构图

     1.   分布式MVC（N层）网络结构——可以理解为分布式C/S应用，最容易理解的例子就是网络游戏，客户端只负责接收和响应输入设备，服务器处理具体的业务逻辑和数据存储。
2.   通信协议——这就有点像HTTP了，但是它必须要比HTTP更强大才行，因为它需要更迅速的传输和响应，以及更复杂的通信内容和指令，当然这并不难办到。
3.   终端——它只负责根据服务的指令显示相应的内容，或者它只是一个服务的“镜头”。
4.   数据中心——可以理解为“云”。

终端结构图

     1.   boot——引导程序，加载终端的微内核
2.   设备驱动——基础驱动程序，在目前的机器结构中，这3个驱动是需要的，而理论上，它们应该集成在硬件芯片中，即设备统一驱动程序，换句话说，不管是鼠标，键盘，触摸，光电感应等输入设备，它们的驱动应该是统一的，因为它们只是用于输入而已，同理，网络设备和显示设备也一样。
3.   微内核——与Linux的内核机制相仿，只不过它应该是微型的，在应用层面，它可能只包含3个部分：用于加载管理服务的模块，用于实现通信协议的模块，用于显示的模块。
4.   服务加载模块——管理来自网络的服务，包括加载，卸载，启动等。
5.   View-SDK——来自网络的服务如何显示，就是由它来决定，可以把它想象成一个浏览器，但是它需要比浏览器更强大，从而引导通信协议的制定。这里的View-SDK目前还比较模糊，不能将它看成普通的SDK，它有可能只是类似于IE，或是实实在在的类似于可视化开发工具的界面，这里，先不确定它的细节问题，只要知道它是个能显示的东东就可以了。

示例

案例一、Eclipse

对于Eclipse，大家都比较熟悉了，如果要将它用于该平台，与现有平台有何区别。

终端部分：只有一个显示框体，他是基于终端的View-SDK的（之前有提到View-SDK，这里有个误区就是，把它想象成现有的Eclipse），没有代码，没有插件，甚至没有供它运行的文件（看起来像IE了，或是一个远程控制）。

数据中心：代码，插件等业务逻辑和数据存储都在这里了。

如何运作

终端通过新的通信协议向数据中心发出指令，由数据中心来决定终端的显示，通过指令或是其它方式。

问题

以上3个结构图，只是对这个平台的一个方向上的构想，在这个平台中，会包含以下问题：

1.   微内核的技术构成，结构是否合理，通过现有技术是否可以实现它，或者它与现有技术是否有冲突，并能否解决这个冲突。

2.   View-SDK的技术构成，是否能够以最少的代码实现，并且实现之后，还可以称之为微。

3.   通信协议的制定，这是依赖于View-SDK和服务器端技术结构的，因为它们都是全新的。

4.   其它，包括与现有的网络技术，软硬件技术的冲突，包括P2P和现有的网络协议等等。

-----------------------------------------------------------------------------------------------------------------
 

2008-07-29:
1. 优化角色AI动作调度器，重构游戏地图对象，所有业务对象共享同一个地图对象
2. 设计自动挂机接口，实现自动寻找离自己最近的怪物
3. 自动挂机流程设计，将挂机流程分解为多个可观察对象（可观察对象是可以被中断的）

2008-08-04:
1. 重新设计靠近坐标和到达坐标的算法
2. 重新设计AI动作实现，可以嵌套AI动作，例如调度移动动作，可以嵌套进调度攻击目标的动作（先移动靠近目标），攻击目标的动作，可以嵌套进机器人动作。
3. 设计拾取物品，攻击目标AI动作，可以自动判断是否需要跑到物品坐标，判断判断需要下马，拾取物品；可以追着某个目标一直攻击，直到目标消失或死亡。
4. 考虑遗传算法在自动挂机中的应用。

2008-08-11:
1. 完成自动练功（自动巡逻，遇怪攻击，遇物品拾取）算法。

2008-08-12:
1. 优化了自动挂机算法，优化寻路算法，目前自动挂机比较流畅

2008-08-13:
1. 完成自动挂机设置：攻击怪物优先级设置，拾取物品优先级设置，挂机地图设置
2. 完成地图NPC坐标加载
3. 完成丢掉背包中的物品

11:12:23,619 DEBUG - 准备生成路线，源地图[比奇县]，目标地图[潘夜神殿]
11:12:23,635 DEBUG - 查找路线用时 - 16
11:12:23,635 DEBUG - 第1步：从比奇县的六面神石[138,261]传送到 [沙巴克] 
11:12:23,635 DEBUG - 第2步：从地图[沙巴克]的 [318,258]过图到 [潘夜神殿1层] 
11:12:23,635 DEBUG - 第3步：从地图[潘夜神殿1层]的 [149,158]过图到 [潘夜神殿2层] 
11:12:23,635 DEBUG - 第4步：从地图[潘夜神殿2层]的 [255,254]过图到 [潘夜神殿3层西部] 
11:12:23,666 DEBUG - 第5步：从潘夜神殿3层西部的六面神石[199,257]传送到 [潘夜神殿大厅] 
11:12:23,666 DEBUG - 第6步：从地图[潘夜神殿大厅]的 [25,22]过图到 [潘夜神殿4层B] 
11:12:23,666 DEBUG - 第7步：从地图[潘夜神殿4层B]的 [111,112]过图到 [潘夜神殿5层B] 
11:12:23,666 DEBUG - 第8步：从地图[潘夜神殿5层B]的 [373,378]过图到 [潘夜神殿6层] 
11:12:23,666 DEBUG - 第9步：从地图[潘夜神殿6层]的 [38,373]过图到 [潘夜神殿7层东部] 
11:12:23,666 DEBUG - 第10步：从地图[潘夜神殿7层东部]的 [25,30]过图到 [潘夜神殿8层] 
11:12:23,666 DEBUG - 第11步：从地图[潘夜神殿8层]的 [200,199]过图到 [潘夜神殿] 

  push    1FFF           ;1FFF入栈
  lea     eax, dword ptr [esp+CAC] ;(3244)  距离栈顶811个存储单元
  push    eax            ;eax入栈 解密后要存入的地址入栈
  add     edi, 10        ;edi=从字符串第17个字节开始往后的串
  push    edi            ;密文入栈
  call    004A0BD0       ;跟进发现这是普通的一次解密，解密后数据存在esp+CAC里
  mov     byte ptr [esp+eax+CA8], 0
  xor     eax, eax
  mov     ecx, 100       ;ecx=100 (256) 循环次数
  lea     edi, dword ptr [esp+3F8]   ;edi
  rep     stos dword ptr es:[edi]    ;
  lea     ecx, dword ptr [esp+3F8]  
  push    ecx
  lea     edx, dword ptr [ebx+3CD864]
  push    edx
  mov     ecx, ebx
  call    0042C440                   ;二次解密，生成回复密文
  lea     eax, dword ptr [esp+3F8]
  push    eax
  mov     ecx, 004D5C70 
  call    0049F770        ;调用messageSend(char* msg)
  lea     eax, dword ptr [esp+CA8]
  lea     edx, dword ptr [eax+1]
L023:
  mov     cl, byte ptr [eax]
  inc     eax
  test    cl, cl
  jnz L023
  sub     eax, edx
  cmp     eax, 3C
  jnz     0043BF9D
  mov     ecx, dword ptr [esp+CA8]
  mov     edx, dword ptr [esp+CAC]
  mov     eax, dword ptr [esp+CB0]
  mov     dword ptr [esp+38], ecx
  mov     ecx, dword ptr [esp+CB4]
  mov     dword ptr [esp+44], ecx
  mov     ecx, dword ptr [esp+CC0]
  mov     dword ptr [esp+3C], edx
  mov     edx, dword ptr [esp+CB8]
  mov     dword ptr [esp+40], eax
  mov     eax, dword ptr [esp+CBC]
  mov     dword ptr [esp+54], ecx
  mov     ecx, dword ptr [esp+CCC]
  mov     dword ptr [esp+48], edx
  mov     edx, dword ptr [esp+CC4]
  mov     dword ptr [esp+50], eax
  mov     eax, dword ptr [esp+CC8]
  mov     dword ptr [esp+60], ecx
  mov     ecx, dword ptr [esp+CD8]
  mov     dword ptr [esp+58], edx
  mov     edx, dword ptr [esp+CD0]
  mov     dword ptr [esp+5C], eax
  mov     eax, dword ptr [esp+CD4]
  mov     dword ptr [esp+24], ecx
  lea     ecx, dword ptr [esp+1C]
  mov     dword ptr [esp+1C], edx
  mov     edx, dword ptr [esp+CDC]
  mov     dword ptr [esp+20], eax
  mov     eax, dword ptr [esp+CE0]
  push    ecx
  mov     ecx, ebx
  mov     byte ptr [esp+50], 0
  mov     byte ptr [esp+68], 0
  mov     dword ptr [esp+2C], edx
  mov     dword ptr [esp+30], eax
  mov     byte ptr [esp+34], 0
  call    0042BD60
  lea     edx, dword ptr [esp+38]
  push    edx
  mov     ecx, ebx
  mov     byte ptr [ebx+49B160], al
  mov     byte ptr [ebx+49B161], ah
  call    0042BD60
  mov     word ptr [ebx+49B162], ax
  lea     eax, dword ptr [esp+50]
  push    eax
  mov     ecx, ebx
  call    0042BD60
  mov     word ptr [ebx+49B164], ax
  mov     ecx, dword ptr [esp+54AC]
  mov     dword ptr fs:[0], ecx
  pop     edi
  pop     esi
  pop     ebx
  mov     esp, ebp
  pop     ebp
  retn    4

分析以上代码可以简单得出以下结论
1. 从call  004A0BD0 的调用可以简单分析出二次密文可能也是标准消息结构
2. 通过对比未更新版本与最新版本对3EF的发送情况，未更新版本发送3EF时，消息体是空，命令体其他参数不为0，再细分析，
未更新的版本的3EF其实就是割肉的命令...........
最新版本的客户端收到二次密文后，经过一些处理，以3EF为命令发向服务器
3. 从add edi, 10可以猜测，二次密文的命令体可能是迷惑人用的
4. 从call 0049F770这个调用断定 esp+3F8 就是二次解密后的明文
5. 对于call 0042C440这个调用，可以猜测，这个就是二次解密的函数
6. 服务器发来的密文对于本次解密是没有影响的，只是对它进行了一些操作，生成了4个数并进行如下保存
  mov     byte ptr [ebx+49B160], al
  mov     byte ptr [ebx+49B161], ah
  mov     word ptr [ebx+49B162], ax
  mov     word ptr [ebx+49B164], ax
7. 二次解密函数有2个参数: arg1 = dword ptr [ebx+3CD864] , arg2 = [esp+3F8]
   也就是根据dword ptr [ebx+3CD864]来生成解密明文，并存入地址esp+3F8，于是ebx+3CD864就成了解密的关键

数据格式
[#][标识位][指令头][消息体][!]
例如 #3<<<<<B\\<<<<<<<<<mi{EhL!

命令结构体
typedef struct tag_TDEFAULTMESSAGE
{
    int     nRecog;
    WORD    wIdent;  3EF
    WORD    wParam;
    WORD    wTag;
    WORD    wSeries;
} _TDEFAULTMESSAGE, *_LPTDEFAULTMESSAGE;

解密命令体<<<<<Jx?<<<<<<<<得到wIdent值是3EF(1007)，OD打开Mir3.exe，查找常量000003EF，跟踪进入，得到如下代码
>>Method1(未知参数)
  push    esi
  push    edi
  push    0   
  push    0
  push    0
  push    0
  mov     esi, ecx
  push    3EF
  lea     edi, dword ptr [esi+18]  ;esi+18 是命令结构体的首地址
  push    edi         ;命令结构体首地址
  call    004A0D00    ;生成命令结构体 (edi,3ef,0,0,0,0)
  mov     eax, dword ptr [esp+C] ; eax保存第一个参数
  push    0
  push    eax
  push    edi
  mov     ecx, esi    ;传递this指针，
  call    0049E450    ;发送数据，arg3: 0, arg2: 第一个参数, arg1: 命令结构体
  pop     edi
  pop     esi
  retn    4

简单分析，入栈的4个0和3EF,则对应结构体,该函数至少1个参数，目前不知这个参数是什么意思，跟进0049E450看看
>>Method2(命令结构体,未知参数,0)
  mov     eax, dword ptr [esp+4]  ;eax=命令结构体
  push    ebx
  push    ebp
  push    esi
  mov     esi, ecx                ;得到this指针
  push    20
  lea     ebp, dword ptr [esi+24] ;esi+18是命令结构体，加密命令结构体得到的字符串保存在esi+24中
  push    ebp                     
  push    eax
  call    004A0CA0                ;跟进发现是加密命令结构体,arg3: 20(32), arg2: esi+24, arg1: 命令结构体地址
  mov     eax, dword ptr [esi+14] ;eax=esi+14=标识位
  cmp     eax, 9
  jl L015                         ;如果标识位小于9，则跳到L015
  mov     dword ptr [esi+14], 1   ;否则标识位重设为1
  jmp L017
L015:
  inc     eax
  mov     dword ptr [esi+14], eax ;标识位自加1
L017:
  mov     edx, dword ptr [esp+14] ;edx=第2个参数
  test    edx, edx                ;
  je L048                         ;如果第2个参数为0，则跳转到L048
  mov     eax, dword ptr [esp+18] ;eax=第3个参数: 0
  test    eax, eax               
  push    edi                 
  jnz L031                        ;eax不等于0则跳转
  mov     eax, edx                ;eax=第2个参数
  lea     edi, dword ptr [eax+1] 
L026:
  mov     cl, byte ptr [eax]      ;cl=第2个参数第1个字节
  inc     eax                     ;eax                   
  test    cl, cl                  ;循环得到第一个参数的长度
  jnz L026                        ;没到字符串尾则继续循环
  sub     eax, edi               
L031:
  push    2000
  push    eax
  lea     edi, dword ptr [esi+44]
  push    edi
  push    edx
  call    004A0B10                ;调用加密函数，将edx加密，保存在esi+44中
  mov     ecx, dword ptr [esi+14]
  push    edi
  push    ebp
  push    ecx
  lea     ebx, dword ptr [esi+2044]
  push    004CBFE4                 ; #%d%s%s!
  push    ebx
  call    004BB568
  add     esp, 14
  pop     edi
  jmp L056
L048:
  mov     edx, dword ptr [esi+14]
  push    ebp
  push    edx
  lea     ebx, dword ptr [esi+2044]
  push    004CBFC4                   ; #%d%s!
  push    ebx
  call    004BB568                   ;sprintf  格式化发送给服务器端的数据
  add     esp, 10
L056:
  mov     eax, ebx
  lea     edx, dword ptr [eax+1]
L058:
  mov     cl, byte ptr [eax]
  inc     eax                        ;这个循环得到数据长度
  test    cl, cl
  jnz L058
  push    0
  sub     eax, edx
  push    eax                        ; 数据长度
  mov     eax, dword ptr [esi+6044]
  push    ebx                 ; Data ，要发送的数据
  push    eax                 ; Socket对象
  call    <jmp.&WS2_32.#19>   ;这里是调用send(Socket对象, 要发送的数据, 数据长度, 0 (flag));
  pop     esi
  pop     ebp
  pop     ebx
  retn    0C

L017和L031说明Method1和Method2中的未知参数就是明文消息体，Method1只有1个消息体参数

OD打开Mir3.exe(Mir3G_20070108) -> ASCII ->找到**%s/%s/%d/%d/%d/1/%d->双击，得到如下代码

这段代码是将几个参数，使用sprintf生成字符串，然后6BIT加密，以#%d%s!格式发送到服务器端
0049E2D0  mov     eax, dword ptr [esp+14]          ; eax=arg5（第5个参数）
0049E2D4  sub     esp, 600                                    ; 预留1536个存储单元
0049E2DA  push    esi                                           
0049E2DB  push    edi
0049E2DC  mov     edi, dword ptr [<&USER32.wsprint>;  USER32.wsprintfA   
0049E2E2  push    eax                              ; /<%d>      ;eax入栈
**%s/%s/%d/%d/%d/1/arg5
0049E2E3  mov     eax, dword ptr [esp+618]         ; |  eax = arg3
0049E2EA  mov     esi, ecx                         ; |
0049E2EC  mov     ecx, dword ptr [esp+61C]         ; | ecx = arg4
0049E2F3  mov     edx, ecx                         ; |             edx=ecx=arg4
0049E2F5  xor     edx, FA0280AF                    ; |    edx=arg4异或FA0280AF 
0049E2FB  push    edx                              ; |<%d>   edx入栈
**%s/%s/%d/%d/arg4异或FA0280AF/1/arg5
0049E2FC  mov     edx, eax                         ; |          edx=eax=arg3
0049E2FE  xor     edx, ecx                         ; |            edx=arg3异或arg4
0049E300  mov     ecx, dword ptr [esp+614]         ; |   ecx=arg1
0049E307  xor     edx, 5580AF27                    ; |      edx = edx异或5580AF27
0049E30D  push    edx                              ; |<%d>   edx入栈
**%s/%s/%d/arg3异或arg4再异或5580AF27/arg4异或FA0280AF/1/arg5
0049E30E  xor     eax, 3EB2C5CC                    ; |  eax = arg3异或3EB2C5CC
0049E313  push    eax                              ; |<%d>
**%s/%s/arg3异或3EB2C5CC/arg3异或arg4再异或5580AF27/arg4异或FA0280AF/1/arg5
0049E314  mov     eax, dword ptr [esp+620]         ; | eax = arg2
0049E31B  push    eax                              ; |<%s>
**%s/arg2/arg3异或3EB2C5CC/arg3异或arg4再异或5580AF27/arg4异或FA0280AF/1/arg5
0049E31C  push    ecx                              ; |<%s>
**arg1/arg2/arg3异或3EB2C5CC/arg3异或arg4再异或5580AF27/arg4异或FA0280AF/1/arg5
0049E31D  lea     edx, dword ptr [esp+220]         ; |  edx 指向上面预留的1536个存储单元中最后512个单元的首地址
0049E324  push    004CBFCC                         ; |**%s/%s/%d/%d/%d/1/%d
0049E329  push    edx                              ; |s
0049E32A  call    edi                              ; \wsprintfA  edx指向生成的明文字符串首地址
0049E32C  add     esp, 20                      ; 前移32个存储单元
0049E32F  push    1FF                             512入栈  <加密函数第4个参数>
0049E334  lea     eax, dword ptr [esp+20C]  eax =明文字符串
0049E33B  push    eax                              ; /String  
0049E33C  call    dword ptr [<&KERNEL32.lstrlenA>] ; \lstrlenA 得到明文的长度，保存在eax中
0049E342  push    eax                                   eax入栈   明文长度入栈<加密函数第3个参数>
0049E343  lea     ecx, dword ptr [esp+10]     ecx=第一次入栈的edi的值，应该是某个成员变量
0049E347  push    ecx                                   ecx入栈<加密函数第2个参数>
0049E348  lea     edx, dword ptr [esp+214] 
0049E34F  push    edx                                    明文字符串首<加密函数第1个参数>
0049E350  call    004A0B10                           调用加密函数
fnEncode(char *strSrc, char *strDest, int lenSrc, 512)
...................
后面是发送信息