Question

我有魔兽世界流量的pcap文件，我需要解压缩它。我知道它是由Zlib压缩的： http://wiki.xentax.com/index.php/List_Of_Compressed_Games 因此，为了找到压缩块的开头，我编写了一段代码来迭代原始数据，尝试解压缩数据并检查是否有一些输出可用。

我调用inflateInit2函数用windowBits参数15（zlib格式）和30（gzip格式）初始化zlib。我用Z_SYNC_FLUSH和Z_FULL_FLUSH参数尝试了inflate（）。但它没有给我输出。

Ip traffic looks like this

每个数据包以00 00 00 ff ff结尾。但是zlib手册说它必须是00 00 ff ff。

那么从WoW流中提取数据的方法是什么？

我的代码是：

void tryZlib(unsigned __int8 *StPt, __int64 size, Deflate *zlib)
{
    z_stream_s *  stream = new z_stream_s;
    SecureZeroMemory(stream, sizeof(z_stream_s));
    bool isInit = false;

    while (size > 0)
    {
        BYTE *out_buf;
        bool isPacketLost = false;
        unsigned __int32 total_out = 0;
        Zlib::ZlibData ddata(StPt, size, *stream, isInit, isPacketLost);
        auto IsOk = zlib->Decoder(ddata, out_buf, total_out);
        zlib->Reset(*stream, isInit);
        --size;
        ++StPt;
    }
}

Inflate包装函数：

bool Zlib::Decoder(const DeflateData & ddata, BYTE *& out_data, unsigned __int32 & size)
    {
        if (IsDllLoaded == false || ddata.PDU == nullptr || ddata.PDU_size == 0)
            return false;
        z_stream_s & strm = ddata.stream;
        if (!ddata.isInitialized)
            Init(ddata);
        strm.total_out = 0;
        strm.avail_in = ddata.PDU_size;
        strm.next_in = ddata.PDU;
        strm.avail_out = OUT_BUFFER_SIZE;
        strm.next_out = out_buffer;
        __int32 ret = 0;
        bool isWasSync = false;
        ret = ZDecompressor(&strm,  Z_SYNC_FLUSH);
        size = strm.total_out;
        if ((ret = 0) || (size > 10))
            printf("Found!!"); 
        out_data = out_buffer;
        return true;            
    }

Answer 1

您需要windowBits参数为-15（否定）才能请求原始收缩。

您所指的存储块是三个零位，然后用足够的零位填充该字节的其余部分以获得字节边界，然后是四个字节{{1} }。因此，根据流中的前面位，00 00 ff ff之前的字节可能不是00 00 ff ff。

如何解压缩WoW数据

1 个答案: