C/C++ 实现简易特征码扫描器

原创已于 2023-09-14 16:21:45 修改 · 1.9w 阅读

6 ·

CC 4.0 BY-SA版权

文章标签：

#c语言 #c++ #开发语言 #Visual C++ #微软技术 #特征码扫描

于 2018-05-26 22:17:00 首次发布

《Visual C++ 编程技术实践》专栏收录该内容

201 篇文章

订阅专栏

本文介绍了一种在Windows系统上使用C++进行特征码扫描的技术。通过扫描特定的字节序列来查找进程的基址及call指令地址，应用于逆向工程、漏洞分析等领域。

特征码扫描通常是指在二进制文件或内存中搜索特定的字节序列或代码模式，以便识别、分析或修改特定的C++结构、函数或对象。这种技术通常用于逆向工程、漏洞分析、安全研究等领域。

通过扫描可以帮助识别特定的C++函数或类，以便进行调试、修复漏洞或修改程序的行为。这些特征码可以是函数的入口点、函数的调用序列、特定的数据结构、类的成员变量等。

扫描特征码基地址

如下C++代码是用于在Windows系统上通过特征码扫描的方式来查找进程的基址。基址通常是指在进程内存中的一个固定地址，它通常用于定位和访问进程的数据结构、变量或函数等信息。

代码中的主要功能如下：

引入了必要的头文件，包括 <stdio.h>, <stdlib.h>, 和 <windows.h>。
定义了一个联合体（union Base）用于处理DWORD和BYTE之间的转换，这将用于存储基址。
实现了一个名为ScanAddress的函数，用于扫描特定进程的内存以查找特定的特征码（markCode）。该函数可以指定特征码距离基址的距离、扫描方式以及是否保存偏移量。
在main函数中，首先查找游戏窗口，并获取到相关的进程ID。
然后使用ScanAddress函数两次，一次查找特征码在基址下面的情况，一次查找特征码在基址上面的情况，以获取人物基址。在这两次查找中，分别使用了不同的参数来控制查找的方式和距离。
最后，打印出获取到的人物基址。

#include <stdio.h>  
#include <stdlib.h>  
#include <windows.h> 

union Base
{
    DWORD   address;
    BYTE    data[4];
};

/************************************************************************/
/* 函数说明：根据特征码扫描基址
/* 参数一：process 要查找的进程
/* 参数二：markCode 特征码字符串,不能有空格
/* 参数三：特征码离基址的距离，默认距离：1
/* 参数四：findMode 扫描方式，找到特征码后，默认为：1
/*                  0：往上找基址(特征码在基址下面)
/*                  1：往下找基址(特征码在基址上面)
/* 参数五：offset 保存基址距离进程的偏移，默认为：不保存
/************************************************************************/
DWORD ScanAddress(HANDLE process, char *markCode, DWORD distinct = 1, DWORD findMode = 1, LPDWORD offset = NULL)
{
    //起始地址  
    const DWORD beginAddr = 0x00400000;
    //结束地址  
    const DWORD endAddr = 0x7FFFFFFF;
    //每次读取游戏内存数目的大小  
    const DWORD pageSize = 4096;

    ////////////////////////处理特征码/////////////////////  
    //特征码长度不能为单数  
    if (strlen(markCode) % 2 != 0) return 0;
    //特征码长度  
    int len = strlen(markCode) / 2;
    //将特征码转换成byte型  
    BYTE *m_code = new BYTE[len];
    for (int i = 0; i < len; i++){
        char c[] = { markCode[i * 2], markCode[i * 2 + 1], '\0' };
        *m_code = (BYTE)::strtol(c, NULL, 16);
    }

    /////////////////////////查找特征码/////////////////////  
    BOOL _break = FALSE;
    //用来保存在第几页中的第几个找到的特征码  
    int curPage = 0;
    int curIndex = 0;
    Base base;
    //每页读取4096个字节  
    BYTE page[pageSize];
    DWORD tmpAddr = beginAddr;
    while (tmpAddr <= endAddr - len)
    {
        ::ReadProcessMemory(process, (LPCVOID)tmpAddr, &page, pageSize, 0);

        //在该页中查找特征码  
        for (int i = 0; i < pageSize; i++)
        {
            for (int j = 0; j < len; j++)
            {

                //只要有一个与特征码对应不上则退出循环  
                if (m_code[j] != page[i + j])break;
                //找到退出所有循环  
                if (j == len - 1){
                    _break = TRUE;
                    if (!findMode)
                    {
                        curIndex = i;
                        base.data[0] = page[curIndex - distinct - 4];
                        base.data[1] = page[curIndex - distinct - 3];
                        base.data[2] = page[curIndex - distinct - 2];
                        base.data[3] = page[curIndex - distinct - 1];
                    }
                    else
                    {
                        curIndex = i + j;
                        base.data[0] = page[curIndex + distinct + 1];
                        base.data[1] = page[curIndex + distinct + 2];
                        base.data[2] = page[curIndex + distinct + 3];
                        base.data[3] = page[curIndex + distinct + 4];
                    }
                    break;
                }
            }
            if (_break) break;
        }
        if (_break) break;
        curPage++;
        tmpAddr += pageSize;
    }
    if (offset != NULL)
    {
        *offset = curPage * pageSize + curIndex + beginAddr;
    }
    return base.address;
}

int main(int argc, char* argv[])
{
    //查找游戏窗口  
    HWND hGame = ::FindWindow("DxFirst", NULL);
    if (hGame == NULL) return FALSE;

    DWORD processId;
    HANDLE process;

    // 得到PID
    ::GetWindowThreadProcessId(hGame, &processId);
    process = ::OpenProcess(PROCESS_ALL_ACCESS, false, processId);
 

    // 基址在特征码下面
    DWORD addr = ScanAddress(process, "83C404C3CCCCA1");
    printf("人物基址：%X\n", addr);

    //基址在特征码上面  
     addr = ScanAddress(process, "C3CCCCCCCCCCCCCCCCCCCC8B442404A3ECA72001", 3, 0);
    printf("人物基址：%X\n", addr);

    ::CloseHandle(process);
    return 0;
}

扫描关键CALL

如下C++代码在Windows系统上使用特征码扫描的方式来查找call指令的地址。call指令用于调用函数，通常会跳转到特定函数的入口地址。代码中的主要功能如下：

引入了必要的头文件，包括 <stdio.h>, <stdlib.h>, 和 <windows.h>。
定义了一个联合体（union Base）用于处理DWORD和BYTE之间的转换，这将用于存储地址。
实现了一个名为ScanCall的函数，该函数调用了之前提到的ScanAddress函数，并在获取到的地址上进行进一步的计算。它用于查找call指令的地址。
在main函数中，调用ScanCall函数，传入要查找的特征码字符串。该特征码通常是call指令的机器码表示。
最后，打印出获取到的call指令的地址。

#include <stdio.h>  
#include <stdlib.h>  
#include <windows.h> 

union Base
{
    DWORD   address;
    BYTE    data[4];
};

/************************************************************************/
/* 函数说明：根据特征码扫描call地址
/* 参数一：process 要查找的进程
/* 参数二：markCode 特征码字符串,不能有空格
/* 参数三：特征码离基址的距离，默认距离：1
/* 参数四：findMode 扫描方式，找到特征码后，默认为：1
/*                  0：往上找基址
/*                  1：往下找基址
/************************************************************************/
DWORD ScanCall(HANDLE process, char *markCode,
    DWORD distinct = 1, DWORD findMode = 1)
{
    DWORD offset;
    DWORD call = ScanAddress(process, markCode, distinct, findMode, &offset);
    call += offset;
    if (findMode) call = call + 5 + distinct;
    else call = call - distinct;
    return call;
}

int main(int argc, char* argv[])
{
    DWORD call = ScanCall(process, "5557535152C6400801E8");
    printf("call基址：%X\n", call);

    ::CloseHandle(process);
    return 0;
}