【懐かしの】任意コード実行総合スレ【バグ】

ようこそ任意コード実行総合スレへ！
ここはポケモンにおける任意コード実行についての語らいや質問、意見交換や情報共有、新たなバグの開拓などを目的としたスレです。
【任意コード実行って？】
ゲーム内のバグを利用して任意のプログラムコードを実行するものです。ポケモンでは、幻ポケモンや色違いポケモンが簡単に作れたり、努力値を一瞬でMAXにしたりできます。
【任意コード実行の例】
・赤緑青　 →5かいバグ
・ピカ版　 →森地図
・金銀水晶 →技マシンバグ(私がつけた仮称)
・FRLG・Em→バグポケモン読み込み
【参考ブログなど】
・http://nakayoshibaddi.hatenadiary.jp/entry/2017/02/08/113232

nakayoshibaddi氏のブログ。5かいの代わりになかよしバッヂというバグアイテムを用いた任意コード実行について解説している。

・http://nakayoshibaddi.hatenadiary.jp/entry/2017/08/15/223932
同氏のブログ。金銀の任意コード実行について解説している。

・https://alice-wreath.hatenablog.com/entry/2019/10/15/031626

ありす氏のブログ。ピカ版でも可能な任意コード実行について解説している。

・https://cordmx.hatenablog.com/entry/2020/04/16/173701

cordmx氏のブログ。水晶版の任意コード実行について解説している。

・ http://detelony.blog.fc2.com

デテロニー氏のブログ。Emのザロクバグを利用した任意コード実行について解説している。

・3世代総合　14 https://pokemonbbs.com/post/read.cgi?no=992816

本BBSのスレ。Emの任意コード実行についての記述がある。

その他多くの人やスレで任意コード実行について記述されていますが今回は割愛させていただきます。

>>60
原理が似てるって事は
任意コード実行が
可能となる糸口なのかな？

>>61
飛ぶ先がボックス名とかのプレイヤーが変更出来る部分なら可能
手持ちポケモンやその持ち物、持ち物の個数とかに飛ぶんならそれを弄ってボックス名とかに飛ばせる

調べた感じではリタイアスクリプトの番号だとただメッセージボックスを呼び出して終わりそうな気がするけど可能性はある
ただどのアドレスに飛んでくれるといいのかがまだ分かっていないから、その解析も含めると相当長い時間をかけないと見つからないと思うけどね

もはや改造と変わらんな

>>59
｢任意｣のコードは実行出来ないから任意コード実行ではないけど､スクリプトをプレイヤーの意思で呼び出すことが出来るというのは類似する
>>1の意向は知らないが､個人的にはこのスレで扱ってもいい話題だと思ってる

>>53
取り敢えずバグ技の入手法と成功率100%化について先にこのスレに上げようと思ってる

コトブキ・リタイアバグ以外に
有用なバグって存在するのかな？

>>65
無論ダイパで任意コード実行可能化に繋がるやつ

>>64
期待
>>65
リタイアバグを他のとこでやっても似た結果だと思う
今調べた中だとプラチナの追い討ち異常気象がワンチャンありそう
あれの仕組み知らないけど、追い討ちでなんかのスクリプトのジャンプ先が変わるなら行けるかもしれん

これ既出？
これ応用したら任意コード実行を可能に出来る？
https://www.youtube.com/watch?v=teAVry05_ZA

>>58
正規チケットの配布時期から考えると
前期ROMしかあり得ないんだっけか
FRLGでも不思議なカード作成出来たら完璧なんだけどなぁ

ダイパでザロクバグって可能？
それならザロクバグで
データ、スクリプト、アドレスを弄れる？

>>70
ザロクバグ自体はダイパでも可能だけど
任意コード実行に繋がるトリガーが見つかってないはず
ザロクバグはあくまできっかけだからそれ自体は有用ではない

>>68
超壁抜けがあったのか…
現在位置の座標番号によってはリタイアスクリプトでいいアドレスに飛んでくれる可能性が微レ存
なぞのばしょに種類があるのかは知らんが

>>71
https://rollingonthefloor.blog.fc2.com/blog-entry-21.html

これ曰くエメラルドと同じことしようとするとフリーズしたらしい
もしかしたら戦闘に入ること自体をトリガーに出来るかもな

これに限らず任意コードは普通フリーズするとこに鍵があることが多いから、まずはフリーズさせることに尽力するのもアリかな()

全然糸口が掴めないな
一応聞きたいんだけど、メモリを解析してどのスクリプトに飛ぶといいか割り出すべき？皆でバグ技試しまくるべき？

エメラルドで第4世代で使えるバグ技を覚えたポケモンを作ってそれを第4世代に送れるのかな？
もし出来るならそれを第4世代での任意コード実行のトリガーに出来るのかな？

パルパークのリタイアに使われるスクリプト以外で
盗み出せるスクリプトって無いのかな？

>>75
3世代で出した第4世代初出の技はみんなパルパークを通るよ
でも有用なバグ技は見つかってないらしいよ
内部番号468〜65535の技の中から使えそうなの探せって話だから
進展ないのも無理ないだろうけどね
メモリ構造も良く分かってないみたいだから
使えそうなアドレスも分からんし
あーもうめちゃくちゃだよ

>>77
すまん
3世代の範囲からはみ出した技(内部番号が355以降)全部パルパーク通るの間違いだわ

エメラルドでザロクバグ使ってミュウ捕獲までしたんだけど
他に素人でもできる面白いバグとか任意コードってないかな？

>>79
デテロニー氏のブログに載ってる任意コードはもれなく面白いっす
実行にはちょっとした環境構築が必要だけど
ザロクバグ出来るなら絶対出来るぐらい簡単だし
デテロニー氏のブログに全部やり方載ってるからモーマンタイ

>>80
調べたら今はラフレシア使わずにけつばんで任意コード実行するですね・・・
一応ラフレシアでも汎用コードは動くんですかね。ありがとうございます

https://sp.nicovideo.jp/watch/sm33907042?ss_id=6cd7f90f-9b92-44c2-a824-976830d1b746&ss_pos=2&cp_in=wt_srch&cnt_transit=suggest

これ利用すれば行けそうじゃないか？！

まだ机上論だけど

リタイアスクリプトがf(マップ番号n)のアドレスに飛ぶとして(通常は台詞が記録されているアドレス)
1.マップ番号tを動画の方法で呼び出す
2.リタイアする
この時、f(t)はボックス名など自由に変更できるアドレスとする
3.ボックス名などに仕込んだ任意のコードが実行される

っていうのはどう？
まだ妄想の段階だからどうなるか分からんが、リタイアスクリプトがマップ番号から処理を呼び出すのなら行ける気がする
関数f(n)の挙動も分からんし、f(n)のジャンプ領域に任意変更出来る部分があるか分かんないから解析待ちになっちゃうけど

「主人公がいるマップのデータを管理してるアドレスからなぞのばしょを通ってバッグ内のデータのアドレスまで移動しています。
マップIDもアイテムIDも個数も2byteで管理されているので簡単に調整ができます。」
これもしかしてバッグ内のデータのアドレスじゃなくて、
ボックス内のデータのアドレスまで移動して
そこを弄ればエメラルドのザロクバグと同様の事が出来るんじゃないの？
なぞのばしょからボックス内のデータのアドレスまで移動出来るかどうかは分からないけど

なぞのばしょから
スクリプトのデータを管理しているアドレスに移動して
そこを弄れば色々出来る気がするけど
移動出来るかどうかは分からないから
ただの妄想でしかないね

「ポケモンDPptは1マップのサイズが32×32なのでメモリサイズも32×32で1メモリをallocしてる。よってなぞのばしょで33歩あるくと別のメモリアドレスに移る=マップが変わる。」
これ本当なの？

なぞのばしょというメモリの海を泳いで
メモリを改ざんするのが一番かな
妄想だけど

第4世代に限らず
メモリの海を泳いで
目的のメモリに何らかの方法でアクセスして
それを改ざんすれば
任意コード実行が可能になる気がするんだよね

>>86
うん
その証拠に、コトブキシティの32×32のマップ4つの境界線で高速移動するとマップの読み込みをミスってポケッチカンパニーが203番道路に置き換わる
>>88
それは勿論なんだけど…
初代で言う道具の21番目以降が色んなメモリに繋がっているみたいなことがなぞのばしょでも起こっているって考えると、マップは道具みたいにプレイヤーが意図的に弄れる領域じゃないしなあ…
と思って、マップそのものから干渉するよりもそのマップ番号を利用したスクリプトのジャンプ先を弄れる領域にしようと思ったんだ
まあ実行する度に小一時間かけて暗黒空間を移動しなきゃ行けないって言うのも大変だし、もっと最適な方法はあると思うけどね

>>89
「主人公がいるマップのデータを管理してるアドレスからなぞのばしょを通ってバッグ内のデータのアドレスまで移動しています。
マップIDもアイテムIDも個数も2byteで管理されているので簡単に調整ができます。」
ってあの動画の説明欄にあるけど
なぞのばしょから
色々なデータのアドレスまで移動出来るのかなって
思ったんだよね

確か海外ではDPPtでバグ技の使用による脆弱性が発見されていたはず(探せば動画があると思う)
脆弱性というのは､バグ技を実行する度に違う現象(フリーズ,BGMスロー化等)が起こることで､つまりROMではなく動的RAMや可変なデータのメモリにアクセスしていることになる
技スクリプトなのか技アニメーションスクリプトなのかは分からないが､やはりバグ技による任意コード実行の可能性はあるんじゃない…？

>>91
0x2B5Cと同じような現象が起きるってこと？
その動画探してみなきゃ(使命感)

最終的には0x085F的なものが見つかると良いよね

>>92
見つけた
http://itest.5ch.net/tamae/test/read.cgi/poke/1434339357/112
(記憶に大分齟齬があったけど)

でも実用化するには現在PPの課題も被さってくるんだなとこれ見て思った…
まあでも可能性感じるよね


そして動画漁ってたら汎用コード環境の導入と任意スクリプト実行の解説動画を隣国の方が投稿しててワロタ
https://www.youtube.com/watch?v=sY-k-tDjxFY
汎用コード環境導入については自分でいつか動画投稿しようと思ってたんだけど､これの後に投稿したら｢ｳﾘの動画が起源ﾆﾀﾞ！｣とかﾆﾀﾞﾆﾀﾞ言ってくるのだろうか…？w

>>94
動画の公開日:5/29
デテロニーさんのブログの公開日:5/15

ネタは上がってんだ！正義はこっちだ！(小並感)

動画ありがとう！
にしても派手にメモリが破壊されてるように見えるのは俺だけか…？
エフェクトがおかしいのも少し気になる点ではあるな
引き続き探って見るよ

FRLG任意コード実行の為のEm任意コード実行

<トリガーバグ技入手>

･FR用0x38C9
ボックス名1:[レゥ　ロい　Ｏぎ]

･LG用0x21BE
ボックス名1:[レゥ　ロい　Ｄむ]

※手持ち2匹の状態で実行すること

手持ちの3番目に､技1に各トリガーバグ技を覚えたコイキングのタマゴを生成する
生成したタマゴは後程FRLGに輸送して孵化させる

<トリガーバグ技成功率100%化>

･ボックス配置用ポッポ❶
ボックス名1:[あああああもけぬ]
ボックス名2:[いねだオうあ　ビ]
ボックス名3:[ねばオじ　　　ビ]
ボックス名4:[ねべオｙ　]
ボックス名5:[えッざＮチノえぅ]
ボックス名6:[アさｋぃＢＦＣ]
ボックス名7:[アアと　　お]
ボックス名8:[アｌコ　う]
ボックス名9:[た　　　]

ボックス1の1番目に､TN[た　　　た]の色ポッポ❶が生成する
❶を計4匹生成し､その内1匹をボックス1の1番目に置いた状態で以下のコードを実行する

･ボックス配置用ポッポ❷
ボックス名1:[にぞオうｅ　　ビ]
ボックス名2:[にぢオいィ　　ビ]
ボックス名3:[にづオ　く]

すると､置いた❶はTN[いィ　くた]に変化する
これを❷とする

<FRLG汎用コード環境導入>

･トリガーバグ技持ちコイキングのタマゴ
･Em汎用コード用フシギダネ�@,�A
･ボックス配置用ポッポ❶×3,❷

上記を全てFRLGに輸送する
コイキングのタマゴは適当に孵化させる

輸送した�@をEmと同じくボックス12の15番目､�Aをボックス14の28番目に配置する
また､FRでは❶×3をボックス12の21〜23番目､❷を24番目に､LGでは❶×3をボックス12の22〜24番目､❷を25番目に配置する
そして､ボックス名11〜13を以下のように変更する

･汎用コード
ボックス名11:[うッゃＮさＲまＫ]
ボックス名12:[アぃＢＦＣあい]
ボックス名13:[ャなうい７せ　う]

任意コード実行から少しずれるかもしれませんが。
某氏のエメラルドでのふしぎなカード生成スクリプトを弄ってオーロラチケット入手しようとしたんですが、配達員スクリプトのアイテムコード書き換えるだけじゃうまくいかなかったです。原因と対処法分かる方いらっしゃいますか？

>>98
おお、ありがとう！
これでFRLGの任意コード実行も確立されたのか
バイナリエディタはEmと同じように作ればいいのかな？
>>99
ふしぎなカードそのもののデータは入力した？
もしそれでダメなら、下のリンクの説明にしたがってオーロラチケットのふしぎなカードを一から偽造してみて
https://bzl.hatenablog.com/entry/2019/10/06/115334
オーロラチケットが欲しいだけなら0x085Fでボックス1:《おZVソく》で手に入るけど

RS、コロシアム、XD、ボックスで
任意コード実行って可能？

>>100
ふるびたかいずのカード生成に成功した後で、配達員スクリプトを書き換えたのでカード部分のコードは正しいはずなんですよね
リンク先のツールだとポケモン受け取りしかできないようで…

>>99
海外サイトでオーロラチケットのwc3ファイル落としてバイナリエディタで覗いてみればいいんじゃない？
知らんけど

そういや初代金銀は個体値で色かどうか決まるから任意コードでどうにかできたけど
エメラルドとかで色個体にする方法ってあるん？

>>101
RSはやってできないことはなさそう
ボックスはバグ技持ちとかバグポケ弾かれるからボックス側にバグが必要と思われる
CoXDは分からん
>>102
>>103が一番楽だろうな
>>104
やったことないけど、自分の裏ID分かるならそれに合うように性格値変更スクリプトとチェックサム計算スクリプトみたいなのを併用すれば行けそうな希ガス

>>100
実機エディタはROM内のプログラムを使うから､ROM構造が四者四様のFRLGでは導入コードが全て異なると思う
サイズが960バイトもあるから逆アセンブルするのも一苦労であまり解析出来てないんだよね…

>>104
既にいる通常色を色違いに変えることはほぼ不可能
直接任意の色違いポケモンを出現させることは出来るけど

>>106
出現させる方法あるのか・・・ありがとう
ちなみにやり方は難しいのかな？

>>107
https://bzl.hatenablog.com/entry/2019/07/18/005740
これに従ってやればいい

>>108
乱数調整(物理)で笑ってしまった。ありがとう

最近この界隈覗くようになったんですが、海外サイト漁ると結構詳しく書いてるもんなんですね…
オーロラチケットのバイナリファイル探してみます。

アセンブリ関数0x3db54がチェックサムを生成するらしいんだけど改良タマゴバグのID加算コード(性格値だとブロックデータの配列が変わるため)と組み合わせて色生成コード作れない？
性格値を事前に調べなきゃいけないが

<トリガーバグ技概要>

･0x38C9(前期FR)
参照アドレス:0x02030074
対象を選択可能な通常攻撃で､表記上の威力は20だが実際には0か？(基本的にダメージ1)
命中率98%で､極稀にだが外れる
特性:複眼のバタフリーなら常に命中率100%で使用出来る
先制技

･0x21BE(前期LG)
参照アドレス:0x020300C0
対象は自分で､使用すると自分に対して欠伸と同様の催眠誘発効果を与える
後攻技
特性:鱗粉のモルフォンなら相手の攻撃による追加効果で技の使用に失敗するリスクを低減出来る

>>111
ブロックデータの書き換えもしないと意味がないからチェックサムだけを計算しても多分使い道はない…
既存ポケモンを色違い化する最善手は今の所､ID変更を行った上で既存ポケモンに対してタマゴ強制孵化コードを実行し､親情報とブロックデータを丸々書き換えるくらいか
後は任意乱数値指定系コードで野生出現､育て屋タマゴ生成､あるいは徘徊ポケモンのデータを書き換えて､直接色違いを出現させるしかない

>>112
あらま、そうなのね
残念

あとこっちで作るのはバイナリエディタかな？

>>113
何とか実機エディタの構造を解き明かして導入コードをより簡略化しつつFRLGでも実現させたいね
まあぼちぼち解析していくか…

素人質問で申し訳ないんですが、エメラルドバイナリエディタのプログラム部分のたまごをFRLGに送ってくるだけじゃダメなんですかね？

>>115
EmのROMに合わせてプログラムが構築されてるからそのままでは使えないし､そもそもダメタマゴは通信交換に出せない

>>116
なるほど、ありがとうございます。

バイナリエディタ作るならFLよりRSの方が楽そう
RAMアドレス変動しないし、バージョンが1つずつしか無いし

3世代は後はFRLGでバイナリエディタ起動できればゲームクリアなのかな

ふしぎなおくりものって配達員スクリプトもチェックサムで保護されてます？

前に教えてもらった通り任意コードやってみたけど
いきなり古びた海図手に入って笑った、何でもありだな

とりあえず汎用コードは動かせた
対戦で使うようにオシャボ色個体作りたいんだけど

1.エメラルドの乱数ツールで6Vになる性格値を調べる
2.その性格値に対して色になる裏IDを調べる
3.裏IDを任意コードで書き換える
4.任意コードで6Vの個体を入手する

こんな感じでいいんだろうか？

>>122
概ねそんな感じ
メソッド1だと良性格の6V少ないけど…

>>123
サンキュー。Em乱数やったことないんだよなぁ・・・
IDから色になる性格値探すより、性格値から色になるID探した方が楽だよな・・・？

>>124
http://2style.jp/bowline/
このサイトで検索できる
あと任意乱数値指定コードを任意ポケモン出現と併用すればエメループの必要は無い

あと6V狙うよりA抜けとか狙った方が個体の幅は広いよ
色にしたけりゃID変更する必要がある
0x03005AF0からリトルエンディアンでF3まで記録されたアドレス＋10byteのところからIDが記録されてるからそこをエディタで弄れば変わる(汎用コードでも行けるが)

>>125
>>126
さっきまでそこのツール使わせてもらってた
とりあえず練習としてデデロニーさんの臆病A抜け5Vの乱数値使って
色々弄ったりしてるとこ

指定乱数値:0xF43564CB　目標乱数値:0xD07CF0ADってとこから
性格値を逆算できる方法を探してウロウロしてる
基礎の学習のために3世代乱数からやってみるべきか・・・

機械語はさっぱりなんで大人しく汎用コードでやってみる

>>127
上のツールに乱数→ステータスっていうツールがあるぞ
汎用コード使う時は指定乱数値を目標乱数値の2つ前(乱数逆算ツールの下の方で計算)にする必要がある

乱数逆算ツールで欲しい個体入力してメソッド1のseedを確認(目標乱数値)
http://2style.jp/bowline/ds/tool/random/inverse.html

臆病5VA7なら(0xd07cf0ad)

そのseedの2個前のseedを逆算して指定乱数値とする(0xf43564cb)

指定乱数値を初期seedとして3genSearchに入力して個体値から5VA7を計算

初期seed F43564CB
フレーム 1
ずれ -2048
seed BF7424E2
性格値 E955D07C
おくびょう 31-7-31-31-31-31

出てきた個体の性格値を見ればいいのかな

4世代乱数における起動時間で決まるseedが指定乱数値
起動からスタート押すまでの時間で進んだフレーム数を指定乱数値に足したものが目標乱数値って理解でいいんだろうか

しかし面白いな任意コード、なんか基本的な事項でレス消費して申し訳ないな

>>130
目標の個体が5000Fにいると仮定して､2F前の4998Fにいる個体の乱数値が指定乱数値となる
逆に言えば､出現する個体は指定乱数値を初期シードとして2Fにいる個体ということ
そこまで難しく考える必要はない

>>131
ふむふむ、とりあえずそういうもんだってことだけ覚えておきます
性格値は出たから次はsidseedに入力して必要な裏IDを調べればいいのかな
まさに物理的乱数調整というか・・・

よくよく設定見たら>>128の乱数→ステータスで性格値分かりますやん・・・

色A抜け5V出来ました・・・アドバイスありがとうございました

エメラルドの一次配布ふしぎなカードってFRLGでは受け取れないんですかね？

そもそも第三世代でカードのおすそ分けって出来たっけ？
むげんのチケットだけじゃない？

>>136
ふしぎなおくりものから「おくる」で通信試みるとこまではいけたので、できそうな気はしたんですけどね…

ふしぎなカードのデータ構造に詳しくなくて申し訳ないけど、FL/Eのどちらに対応しているかがカードの中に記録されている可能性は無い？
例えば、しんぴのチケットはFLとEの両方で受け取れるけど、カードの内容が違うかもしれないし
送信可否をカードのデータで操作できれば、まだ望みがありそうなんだがなぁ……

>>138
オーロラチケットのカードデータとスクリプトをFRとFR、FRとEM、 EMとEMで試したんですがダメそうでした
解析はど素人なので大人しくバイナリエディタ確立まで待ちます…

一応ふしぎなカードのデータ構造はここにありますね

https://projectpokemon.org/home/forums/topic/35903-gen-3-mystery-eventgift-research/

https://bzl.hatenablog.com/entry/2019/10/06/115226
FLにせよEにせよ、おすそわけ可能にするにはデータ改変が必要みたいですけどね
ここ見る限り

ジラーチでリボンコンプしたいのですが、コンテストリボンの入力方法が分かりません。教えてください

コンテストリボンはポロック錬成してスケッチでコンテスト用の技覚えさせて無理やりやったな・・・

コンテストで優勝すると貰えます()

コンテストはともかくバトルタワーのリボン楽にとれる方法ないかな
任意コードでキノコの胞子なり強技覚えさせて殴るしかないか

ノーガード零度カイリキーとか作りたいけど、ノーガードは4世代からか

ブロックデータのリボンデータの8byteを2進数に直してそれぞれのリボンが対応する桁を1にすればいい
何桁目が何リボンかは忘れた

Mブロックをビット単位で表した表
この表を使えばコンテストリボン系統以外は指定の位置を1にすればいいと分かる
ただコンテストリボン系統については1括りになっててよう分からん(画像はデテロニーさんのブログから)

>>146
4byteですごめんなさい

正直RSのバトルタワー登った方が早そう
エメラルドの100倍は簡単

コンテストは…全部ついてる個体作ってエディタで覗くしかないのか…？

自分のリボンコンプポケモン見たらコンテストリボンはそれぞれ100だった

�@0b001:ノーマル
�A0b010:スーパー,ノーマル
�B0b011:ハイパー,スーパー,ノーマル
�C0b100:マスター,ハイパー,スーパー,ノーマル
※0b101以上だとダブりが発生

こんなだった気がする
タワー系リボンもポケモンデータ書き換えで付与してもいいけど､0x4C8A覚えさせて無双して気持ち良くゲットするのも良い

>>152のやつを変換してできた
以下
�@ダークポケモンでない
　(i)禁伝・幻
　 　020CC924
　(ii)それ以外
　　　020FC924
�Aダークポケモン
　(i)禁伝・幻
　　　030CC924
　(iI)それ以外
　　　030FC924

これで正規リボンコンプ可能
非正規と配布限定はお好きに

channelジラーチを偽装したいです
性格値と個体値のメソッドがわかる方いらっしゃいますか？

HGSSでDPTのコトブキシティバグのような事って可能なのかな？

剣盾でなぞのばしょがあるけど
上手くやれば剣盾でなぞのばしょ経由で
メモリにアクセスして任意コード実行出来るかも

修正

剣盾でなぞのばしょがあるけど
上手くやれば剣盾でなぞのばしょ経由で
メモリにアクセスして任意コード実行出来るのかもね

RSの道具増殖の応用で
確かバグマップにアクセス出来るけど
そこからメモリにアクセス出来るのかな？

これ応用出来ないのかな？
http://ricefreedom.doorblog.jp/archives/37429095.html

確かDPTでなぞのばしょバグをやると
通常のマップでも色の状態がおかしくなる事が多いよね？
このメカニズムの全貌って分かってるのかな？