C++特征码定位sunday算法最快

在原来基础上增加功能。主要用来查杀或者内存辅助定位数据使用。应该是目前最好用的。
1.这个直接支持x86x64项目工程，同时针对x86x64程序全面支持的。
2.教程直接用__NtWow64ReadVirtualMemory64相关内核函数进行内存读写定位数据
3.函数 X64ScanAddr，X64ScanBase，X64ScanCall可以定位基地址、虚拟地址、call数值、偏移等数据
讨论 QQ：2273545181 Q群：550839408

1. 
   
2. 讨论 QQ：2273545181 Q群：550839408
   
3. 
   
4. DWORD BaseRole = X64ScanBase(GetCurrentProcessId(), “83C4043BB3F00000008BC675EB”, L"moxia.exe", 19, 4);//==== 返回大小)
   
5. 
   
6. 
   
7. //=========================内存搜索支持x86x64位游戏
   
8. HMODULE NtdllModuleBase = NULL;
   
9. NtdllModuleBase = GetModuleHandle("Ntdll.dll");
   
10. if (NtdllModuleBase == NULL)
    
11. {
    
12. return FALSE;
    
13. }
    
14. __NtWow64ReadVirtualMemory64 = (LPFN_NTWOW64READVIRTUALMEMORY64)GetProcAddress(NtdllModuleBase,
    
15. "NtWow64ReadVirtualMemory64");
    
16. printf("__NtWow64ReadVirtualMemory64 %llx\n", (UINT64)__NtWow64ReadVirtualMemory64);
    
17. __NtWow64WriteVirtualMemory64 = (LPFN_NTWOW64WRITEVIRTUALMEMORY64)GetProcAddress(NtdllModuleBase,
    
18. "NtWow64WriteVirtualMemory64");
    
19. return        TRUE;
    
20. ===================================
    
21. //查找内存地址
    
22. INT64 X64ScanAddr(DWORD ProcessID, char *markCode, const wchar_t * ModuleName, DWORD offset)
    
23. {
    
24. DWORD size = 8; //==== 返回大小
    
25. DWORD ordinal = 1;//====返回次数
    
26. UINT64 beginAddr = GetX86X64Module(ProcessID, ModuleName);
    
27. UINT64 endAddr = beginAddr + GetX86X64ModuleSize(ProcessID, ModuleName);
    
28. return X64ScanOpcode(ProcessID, markCode, offset, size, ordinal, beginAddr, endAddr);
    
29. }
    
30. 
    
31. INT64 X64ScanBase(DWORD ProcessID, const char *markCode, const wchar_t * ModuleName, DWORD offset, DWORD size)//==== 返回大小)
    
32. {
    
33. DWORD ordinal = 1;//====返回次数
    
34. INT64 BufferData = NULL; //
    
35. //ULONG64 Len = size;
    
36. UINT64 beginAddr = GetX86X64Module(ProcessID, ModuleName);
    
37. UINT64 endAddr = beginAddr + GetX86X64ModuleSize(ProcessID, ModuleName);
    
38. INT64 Addr_Ret = X64ScanOpcode(ProcessID, markCode, offset, size, ordinal, beginAddr, endAddr);
    
39. HANDLE Hprocess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, ProcessID);//打开进程
    
40. __NtWow64ReadVirtualMemory64(Hprocess, Addr_Ret, &BufferData, size, 0);//注意返回值大小问题，size就是字节大小
    
41. CloseHandle(Hprocess);
    
42. return BufferData;
    
43. }
    
44. 
    
45. INT64 X64ScanCall(DWORD ProcessID, const char *markCode, const wchar_t * ModuleName, DWORD offset)//==== 返回大小)
    
46. {
    
47. DWORD ordinal = 1;//====返回次数
    
48. DWORD size = 4;//x64的call只能是4字节的，不能8字节，否走要mov rax 0x1121212121 jmp rax
    
49. INT64 BufferData = NULL;
    
50. ULONG64 Len = size;
    
51. UINT64 beginAddr = GetX86X64Module(ProcessID, ModuleName);
    
52. UINT64 endAddr = beginAddr + GetX86X64ModuleSize(ProcessID, ModuleName);
    
53. INT64 Addr_Ret = X64ScanOpcode(ProcessID, markCode, offset, size, ordinal, beginAddr, endAddr);
    
54. HANDLE Hprocess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, ProcessID);//打开进程
    
55. __NtWow64ReadVirtualMemory64(Hprocess, Addr_Ret, &BufferData, size, &Len);//注意返回值大小问题，size就是字节大小
    
56. CloseHandle(Hprocess);
    
57. return Addr_Ret - 1 + 5 + BufferData;;
    
58. }
    
59. 
    
60. /************************************************************************/
    
61. /* 函数说明：查找特征码
    
62. /* process: 要查找的进程
    
63. /* markCode: 特征码字符串,不能有空格
    
64. /* distinct：特征码首地址离目标地址的距离 负数在特征码在上
    
65. /* offset: 返回目标地址
    
66. /* size: 设置返回数据为几个BYTE 1 2 3 4
    
67. /* ordinal: 特征码出现的次数
    
68. /* beginAddr: 开始搜索地址
    
69. /* endAddr: 结束地址
    
70. /* ret:返回目标地址的内容
    
71. /************************************************************************/
    
72. 
    

复制代码

完整回复可见：

游客，如果您要查看本帖隐藏内容请回复

回复一下