关于内存搜索的疑问

BG080203

#include <Windows.h>
#include <TlHelp32.h> //声明快照函数的头文件
#include <stdio.h>
BOOL FindFirst(DWORD dwValue); //在目标进程空间中进行第一次搜索
BOOL FindNext(DWORD dwValue); //在目标进程空间进行第二三四次搜索
DWORD g_arList[1024]; //地址列表
int g_nListCnt; //有效地址的个数
HANDLE g_hProcess; //目标进程句柄
BOOL CompareAPage(DWORD dwBaseAddr,DWORD dwValue) //比较目标进程内存中一页大小的内存
{
//读取一页内存
BYTE arBytes[4096];
if(!ReadProcessMemory(g_hProcess,(LPVOID)dwBaseAddr,arBytes,4096,NULL));
return FALSE;//此页不可读
//在这一页内存中查找
DWORD* pdw;
for (int i=0;i<(int)4*1024-3;i++)
{
pdw=(DWORD*)&arBytes[i];
if (pdw[0]==dwValue)//等于要查找的值？
{
if(g_nListCnt>=1024)
return false;
g_arList[g_nListCnt++]=dwBaseAddr+i;//添加到全局变量中
}
}
return true;
}
BOOL FindFirst(DWORD dwValue)
{
const DWORD dwOneGB=1024*1024*1024;//1GB
const DWORD dwOnePage=4*1024;//4KB
if(g_hProcess==NULL)
return false;
//查看操作系统类型，以决定开始地址
DWORD dwBase;
OSVERSIONINFO vi={sizeof(vi)};
GetVersionEx(&vi);
if (vi.dwPlatformId==VER_PLATFORM_WIN32_WINDOWS)
{
dwBase=4*1024*1024;//windows98系列，4MB
}
else
dwBase=640*1024;//windows NT系列，64KB
//在开始地址到2GB的地址空间进行查找
for (;dwBase<2*dwOneGB;dwBase+=dwOnePage)
{
//比较一页大小的内存
CompareAPage(dwBase,dwValue);
}
return TRUE;
}
void ShowList()
{
for (int i=0;i<g_nListCnt;i++)
{
printf("%081x\n",g_arList[i]);
}
}
BOOL FindNext(DWORD dwValue)
{
//保存m_arList数组中有效地址的个数，初始化新的m_nListCnt值
int nOrgCnt=g_nListCnt;
g_nListCnt=0;
//在m_arList数组记录的地址处查找
BOOL bRet=FALSE;//假设失败
DWORD dwReadValue;
for (int i=0;i<nOrgCnt;i++)
{
if (ReadProcessMemory(g_hProcess,(LPVOID)g_arList[i],&dwReadValue,sizeof(DWORD),NULL))
{
if (dwReadValue==dwValue)
{
g_arList[g_nListCnt++]=g_arList[i];
bRet=TRUE;
}
}
}
return bRet;
}
BOOL WriteMemory(DWORD dwAddr,DWORD dwValue)
{
return WriteProcessMemory(g_hProcess,(LPVOID)dwAddr,&dwValue,sizeof(DWORD),NULL);
}
int main(int argc,char* argv[])
{
char szFileName[]="";//这里是修改内存的程序的名字
STARTUPINFO si={sizeof(si)};
PROCESS_INFORMATION pi;
::CreateProcess(NULL,szFileName,NULL,NULL,FALSE,CREATE_NEW_CONSOLE,NULL,NULL,&si,&pi);
//关闭线程句柄，既然我们不需要它
::CloseHandle(pi.hThread);
g_hProcess=pi.hProcess;
int iVal;//输入要修改的值
printf("Input val=");
scanf("%d",&iVal);
FindFirst(iVal);//进行第一次查找
ShowList();//打印出搜索的结果
while (g_nListCnt>1)
{
printf("Input val=");
scanf("%d",&iVal);//进行下次搜索
FindNext(iVal);
ShowList();//显示搜索结果
}
printf("New value=");//取得新值
scanf("%d",&iVal);
if(WriteMemory(g_arList[0],iVal))//写入新值
printf("Write data sucess\n");
CloseHandle(g_hProcess);
return 0;
}
首先printf("%081x\n",g_arList[i]);%081X不是输出81位吗，地址应该是8位输出吧，我感觉应该是%08x\n
还有谁能讲一下关于系统平台和dwBase的值的选择的关系呢
@小甲鱼

BG080203

顶起来

BG080203

单机吗

BG080203

@ 小甲鱼

BG080203

@小甲鱼

qwe1231069

听说这样可以改格式，哥们你这样的程序没人愿意看的

1. #include <Windows.h>
   
2. #include <TlHelp32.h> //声明快照函数的头文件
   
3. #include <stdio.h>
   
4. BOOL FindFirst(DWORD dwValue); //在目标进程空间中进行第一次搜索
   
5. BOOL FindNext(DWORD dwValue); //在目标进程空间进行第二三四次搜索
   
6. DWORD g_arList[1024]; //地址列表
   
7. int g_nListCnt; //有效地址的个数
   
8. HANDLE g_hProcess; //目标进程句柄
   
9. BOOL CompareAPage(DWORD dwBaseAddr,DWORD dwValue) //比较目标进程内存中一页大小的内存
   
10. {
    
11. //读取一页内存
    
12. BYTE arBytes[4096];
    
13. if(!ReadProcessMemory(g_hProcess,(LPVOID)dwBaseAddr,arBytes,4096,NULL));
    
14. return FALSE;//此页不可读
    
15. //在这一页内存中查找
    
16. DWORD* pdw;
    
17. for (int i=0;i<(int)4*1024-3;i++)
    
18. {
    
19. pdw=(DWORD*)&arBytes[i];
    
20. if (pdw[0]==dwValue)//等于要查找的值？
    
21. {
    
22. if(g_nListCnt>=1024)
    
23. return false;
    
24. g_arList[g_nListCnt++]=dwBaseAddr+i;//添加到全局变量中
    
25. }
    
26. }
    
27. return true;
    
28. }
    
29. BOOL FindFirst(DWORD dwValue)
    
30. {
    
31. const DWORD dwOneGB=1024*1024*1024;//1GB
    
32. const DWORD dwOnePage=4*1024;//4KB
    
33. if(g_hProcess==NULL)
    
34. return false;
    
35. //查看操作系统类型，以决定开始地址
    
36. DWORD dwBase;
    
37. OSVERSIONINFO vi={sizeof(vi)};
    
38. GetVersionEx(&vi);
    
39. if (vi.dwPlatformId==VER_PLATFORM_WIN32_WINDOWS)
    
40. {
    
41. dwBase=4*1024*1024;//windows98系列，4MB
    
42. }
    
43. else
    
44. dwBase=640*1024;//windows NT系列，64KB
    
45. //在开始地址到2GB的地址空间进行查找
    
46. for (;dwBase<2*dwOneGB;dwBase+=dwOnePage)
    
47. {
    
48. //比较一页大小的内存
    
49. CompareAPage(dwBase,dwValue);
    
50. }
    
51. return TRUE;
    
52. }
    
53. void ShowList()
    
54. {
    
55. for (int i=0;i<g_nListCnt;i++)
    
56. {
    
57. printf("%081x\n",g_arList[i]);
    
58. }
    
59. }
    
60. BOOL FindNext(DWORD dwValue)
    
61. {
    
62. //保存m_arList数组中有效地址的个数，初始化新的m_nListCnt值
    
63. int nOrgCnt=g_nListCnt;
    
64. g_nListCnt=0;
    
65. //在m_arList数组记录的地址处查找
    
66. BOOL bRet=FALSE;//假设失败
    
67. DWORD dwReadValue;
    
68. for (int i=0;i<nOrgCnt;i++)
    
69. {
    
70. if (ReadProcessMemory(g_hProcess,(LPVOID)g_arList[i],&dwReadValue,sizeof(DWORD),NULL))
    
71. {
    
72. if (dwReadValue==dwValue)
    
73. {
    
74. g_arList[g_nListCnt++]=g_arList[i];
    
75. bRet=TRUE;
    
76. }
    
77. }
    
78. }
    
79. return bRet;
    
80. }
    
81. BOOL WriteMemory(DWORD dwAddr,DWORD dwValue)
    
82. {
    
83. return WriteProcessMemory(g_hProcess,(LPVOID)dwAddr,&dwValue,sizeof(DWORD),NULL);
    
84. }
    
85. int main(int argc,char* argv[])
    
86. {
    
87. char szFileName[]="";//这里是修改内存的程序的名字
    
88. STARTUPINFO si={sizeof(si)};
    
89. PROCESS_INFORMATION pi;
    
90. ::CreateProcess(NULL,szFileName,NULL,NULL,FALSE,CREATE_NEW_CONSOLE,NULL,NULL,&si,&pi);
    
91. //关闭线程句柄，既然我们不需要它
    
92. ::CloseHandle(pi.hThread);
    
93. g_hProcess=pi.hProcess;
    
94. int iVal;//输入要修改的值
    
95. printf("Input val=");
    
96. scanf("%d",&iVal);
    
97. FindFirst(iVal);//进行第一次查找
    
98. ShowList();//打印出搜索的结果
    
99. while (g_nListCnt>1)
    
100. {
     
101. printf("Input val=");
     
102. scanf("%d",&iVal);//进行下次搜索
     
103. FindNext(iVal);
     
104. ShowList();//显示搜索结果
     
105. }
     
106. printf("New value=");//取得新值
     
107. scanf("%d",&iVal);
     
108. if(WriteMemory(g_arList[0],iVal))//写入新值
     
109. printf("Write data sucess\n");
     
110. CloseHandle(g_hProcess);
     
111. return 0;
     
112. }

复制代码

qwe1231069

好吧没有用  
你要把格式写好

vcvycy

代码写得太挫了。起码得有空格对齐 。

BG080203

vcvycy 发表于 2016-8-12 21:50
代码写得太挫了。起码得有空格对齐 。

我已经知道了结果了，下面贴上我的代码

BG080203

1. #include <stdio.h>
   
2. #include <windows.h>
   
3. #include <TlHelp32.h>//快照函数的头文件
   
4. #include <vector>
   
5. using namespace std;
   
6. struct addrinfo
   
7. {
   
8. LPVOID addr;//存放地址
   
9. bool falg;//一个标记，如果为true,则需进行删除
   
10. };
    
11. vector<PROCESSENTRY32> SysProcess;//存储系统进程的变量
    
12. vector<struct addrinfo> addrlist;//地址列表
    
13. vector<struct addrinfo> templist;//临时地址列表
    
14. int cnt=0;//进程数量
    
15. int g_nlist=0;//存放有效地址数量
    
16. HANDLE g_hProcess;//全局进程句柄
    
17. void PrintProcess();//列举所有的系统进程
    
18. void SelectExc();//选择一个进程进行内存修改
    
19. bool FindFirst(DWORD value);//第一次进行搜索
    
20. bool CompareAPage(DWORD dwBase,DWORD ivalue);//前一个参数代表搜索基址,后一个参数代表要搜索的值
    
21. bool FindNext(DWORD value);//第二，三，四，五次进行搜索
    
22. void ShowList();//显示地址列表
    
23. DWORD GetProcessidFromName(LPCTSTR proname);//从名字得到进程ID 成功返回非0，失败返回0
    
24. void main()
    
25. {
    
26. DWORD ival;
    
27. PrintProcess();
    
28. SelectExc();
    
29. printf("Input val=");
    
30. scanf("%d",&ival);//进行初值的输入
    
31. FindFirst(ival);
    
32. ShowList();
    
33.         while(g_nlist>1)
    
34.         {
    
35.         printf("new Input val=");
    
36.         scanf("%d",&ival);//进行初值的输入
    
37.         FindNext(ival);
    
38.         ShowList();
    
39.         }
    
40.         if(g_nlist==1)
    
41.                 {
    
42.                 printf("now we can correct the value,new value=");
    
43.                 scanf("%d",&ival);//进行初值的输入
    
44.                 vector<struct addrinfo>::iterator it=addrlist.begin();
    
45.                 DWORD written;
    
46.                 WriteProcessMemory(g_hProcess,(DWORD*)(it->addr),&ival,sizeof(DWORD),&written);
    
47.                 }
    
48.         else
    
49.                 {
    
50.                 printf("sorry,we can't find the address");
    
51.                 }
    
52. CloseHandle(g_hProcess);
    
53. }
    
54. 
    
55. void PrintProcess()
    
56. {
    
57. HANDLE handle;
    
58. PROCESSENTRY32 pi;
    
59. handle=CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);
    
60.         if(handle==INVALID_HANDLE_VALUE)
    
61.         {
    
62.         printf("调用列举函数失败\n");
    
63.         return;
    
64.         }
    
65. pi.dwSize=sizeof(pi);
    
66.         if(Process32First(handle,&pi))
    
67.         {
    
68.         SysProcess.push_back(pi);//打印进程名称，进程ID，线程数量，父进程ID
    
69.         printf("%d\t %s\t %d\t %d\t %d\t\n",cnt++,pi.szExeFile,pi.th32ProcessID,pi.cntThreads,pi.th32ParentProcessID);
    
70.         }
    
71.         while(Process32Next(handle,&pi))
    
72.         {
    
73.         SysProcess.push_back(pi);//打印进程名称，进程ID，线程数量，父进程ID
    
74.         printf("%d\t %s\t %d\t %d\t %d\t\n",cnt++,pi.szExeFile,pi.th32ProcessID,pi.cntThreads,pi.th32ParentProcessID);
    
75.         }
    
76. CloseHandle(handle);
    
77. }
    
78. 
    
79. void SelectExc()
    
80. {
    
81. int index;
    
82. //int err;
    
83. DWORD id;
    
84. //STARTUPINFO si={sizeof(si)};
    
85. //PROCESS_INFORMATION pi;
    
86. printf("please select a process:");
    
87. scanf("%d",&index);
    
88. id=GetProcessidFromName(SysProcess[index].szExeFile);
    
89.         if(id==0)
    
90.         {
    
91.         printf("this process not exist!");
    
92.         return;
    
93.         }
    
94. HANDLE phand=OpenProcess(PROCESS_ALL_ACCESS,false,id);
    
95. //err=CreateProcess(NULL,SysProcess[index].szExeFile,NULL,NULL,false
    
96.         /*                                                ,CREATE_NEW_CONSOLE,NULL,NULL,&si,&pi);
    
97.         if(err==0)
    
98.         {
    
99.         printf("创建进程出错!\n");
    
100.         return;
     
101.         }
     
102.         */
     
103. //CloseHandle(pi.hThread);
     
104. g_hProcess=phand;
     
105. }
     
106. 
     
107. bool FindFirst(DWORD value)
     
108. {
     
109. const DWORD dwOneGB=1024*1024*1024;
     
110. const DWORD dwOnePage=4*1024;
     
111. if(g_hProcess==NULL)
     
112.         return false;
     
113. DWORD dwBase;//搜索基地址
     
114. OSVERSIONINFO osi;
     
115. GetVersionEx(&osi);
     
116.         if(osi.dwPlatformId==VER_PLATFORM_WIN32_WINDOWS)
     
117.         {
     
118.         dwBase=4*1024*1024;//4M
     
119.         }
     
120.         else
     
121.         {
     
122.         dwBase=640*1024;//64KB
     
123.         }
     
124.         for(;dwBase<2*dwOneGB;dwBase+=dwOnePage)
     
125.         {
     
126.         CompareAPage(dwBase,value);
     
127.         }
     
128. return true;
     
129. }
     
130. 
     
131. bool CompareAPage(DWORD dwBase,DWORD ivalue)//前一个参数代表搜索基址,后一个参数代表要搜索的值
     
132. {
     
133. DWORD bytesread;
     
134. DWORD pdw;
     
135. BYTE buffer[4096];
     
136. struct addrinfo temp;//临时存放地址和标记的变量
     
137. bool success=ReadProcessMemory(g_hProcess,(void*)dwBase,buffer,4096,&bytesread);
     
138.         if(!success)
     
139.         {
     
140.         return false;
     
141.         }
     
142.         //for(;(void*)dwBase<(void*)(dwBase+4096-3);dwBase++)
     
143.         for(int i=0;i<(4096-3);i++)
     
144.         {
     
145.                 pdw=*(DWORD*)&buffer[i];
     
146.                 if(pdw==ivalue)
     
147.                 {
     
148.                         if(g_nlist>=1024*1024*1024)
     
149.                         return false;
     
150.                 temp.addr=(void*)(dwBase+i);
     
151.                 temp.falg=true;
     
152.                 g_nlist++;
     
153.                 addrlist.push_back(temp);
     
154.                 }
     
155.         }
     
156. return true;
     
157. }
     
158. 
     
159. bool FindNext(DWORD value)
     
160. {
     
161. DWORD bytesread;
     
162. DWORD newvalue;
     
163. vector<struct addrinfo>::iterator it;
     
164. if(g_hProcess==NULL)
     
165.         return false;
     
166.         for(it=addrlist.begin();it!=addrlist.end();it++)
     
167.         {
     
168.                 if(ReadProcessMemory(g_hProcess,it->addr,&newvalue,sizeof(DWORD),&bytesread))
     
169.                 {
     
170.                         if(newvalue!=value)
     
171.                         {
     
172.                         it->falg=false;
     
173.                         g_nlist--;
     
174.                         }
     
175.                         else
     
176.                         {
     
177.                         templist.push_back(*it);
     
178.                         }
     
179.                 }
     
180.         }
     
181.         addrlist.erase(addrlist.begin(),addrlist.end());
     
182.         printf("%d\n",addrlist.size());
     
183.         for(it=templist.begin();it!=templist.end();it++)
     
184.         {
     
185.         addrlist.push_back(*it);
     
186.         }
     
187.         templist.erase(templist.begin(),templist.end());
     
188. return true;
     
189. }
     
190. 
     
191. void ShowList()
     
192. {
     
193.         vector<struct addrinfo>::const_iterator it;
     
194.         for(it=addrlist.begin();it!=addrlist.end();it++)
     
195.         {
     
196.         printf("%08X\n",it->addr);
     
197.         }
     
198.         printf("%d\n",g_nlist);
     
199. }
     
200. 
     
201. DWORD GetProcessidFromName(LPCTSTR proname)//成功返回非0，失败返回0
     
202. {
     
203. DWORD id=0;
     
204. bool flag=false;
     
205. HANDLE handle;
     
206. PROCESSENTRY32 pi;
     
207. handle=CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);
     
208.         if(handle==INVALID_HANDLE_VALUE)
     
209.         {
     
210.         printf("调用列举函数失败\n");
     
211.         return id;
     
212.         }
     
213. pi.dwSize=sizeof(pi);
     
214.         if(!Process32First(handle,&pi))
     
215.                 return id;
     
216.         while(Process32Next(handle,&pi))
     
217.         {
     
218.                 if(!strcmp(pi.szExeFile,proname))
     
219.                 {
     
220.                 id=pi.th32ProcessID;
     
221.                 break;
     
222.                 }
     
223.         }
     
224. CloseHandle(handle);
     
225. return id;
     
226. }
     

复制代码

BG080203

其实一楼的代码是我在鱼c论坛上看到的，并不是我写的，只不过，我认为其中有些东西有些错误，又没有人说它是错的，我产生了疑惑，所以才问问大家，不过，我已经有结果了

樱花

支持