C# .net内存特征码搜索和内存修改 - 精易论坛

[C#] 纯文本查看 复制代码
using System;

using System.Collections.Generic;

using System.Diagnostics;

using System.Linq;

using System.Runtime.InteropServices;

using System.Text;



namespace Net内存特征码搜索

{

    internal class Program

    {

        private static void Main(string[] args)

        {

            Console.WriteLine("程序最小地址：0x" + PatchPattern.Get_Application_MinAddress().ToString("X"));

            Console.WriteLine("程序最大地址：0x" + PatchPattern.Get_Application_MaxAddress().ToString("X"));



            // System.dll是.NET Framework的核心程序集，ntdll.dll是Windows系统的核心模块

            var systemAssembly = PatchPattern.Get_Assembly_Module_BaseAddress("System.dll");

            Console.WriteLine("System模块jz：0x" + systemAssembly.ToString("X"));

            Console.WriteLine("System模块大小：0x" + PatchPattern.Get_Moule_SizeOfImage(systemAssembly).ToString("X"));

            Console.WriteLine("ntdll模块jz：0x" + PatchPattern.Get_C_Module_BaseAddress("ntdll.dll").ToString("X"));

            Console.WriteLine("ntdll模块大小：0x" + PatchPattern.Get_C_Module_SizeOfImage("ntdll.dll").ToString("X"));



            // Hello World! 的特征码为 48 00 65 00 6C 00 6C 00 6F 00 20 00 57 00 6F 00 72 00 6C 00 64 00 21 00

            string testStr = "Hello World!";

            string patternStr = "48 00 65 00 6C 00 6C ?? 6F 00 20 00 ?7 00 6F ?? 72 00 6C 00 64 00 21 00";



            IntPtr hProcess = Process.GetCurrentProcess().Handle;

            // 获取主模块jz和大小

            ulong baseAddress = (ulong)Process.GetCurrentProcess().MainModule.BaseAddress;

            ulong size = (ulong)Process.GetCurrentProcess().MainModule.ModuleMemorySize;

            Console.WriteLine("模块jz：0x" + baseAddress.ToString("X") + "----模块大小：0x" + size.ToString("X"));



            Stopwatch stopwatch = new Stopwatch();

            stopwatch.Start();

            // 遍历内存，搜索特征码

            // 注意：搜索前确保程序集或者dll已加载

            // 指定搜索范围

            List<ulong> result = PatchPattern.SundayPatternFind(hProcess, baseAddress, baseAddress + size, patternStr, 0);

            // 整个进程搜索

            //List<ulong> result = PatchPattern.SundayPatternFind(hProcess, PatchPattern.Get_Application_MinAddress(), PatchPattern.Get_Application_MaxAddress(), patternStr);

            stopwatch.Stop();



            Console.WriteLine("搜索用时: " + stopwatch.ElapsedMilliseconds + " 毫秒");

            Console.WriteLine("搜索到特征码：" + result.Count + "个");

            result.ForEach(x => Console.WriteLine("特征码地址：0x" + x.ToString("X")));



            // 你好，世界！的unicode编码为 60 4F 7D 59 0C FF 16 4E 4C 75 01 FF

            Encoding.Unicode.GetBytes("你好，世界！").ToList().ForEach(x => Console.Write(x.ToString("X2") + " "));

            Console.WriteLine();

            // 修改搜索到的内存数据

            if (result.Count > 0)

                // 将特征码替换为你好，世界！的unicode编码，并添加截断0000字节

                if (PatchPattern.WriteMemoryData(result[0], "60 4F 7D 59 0C FF 16 4E 4C 75 01 FF" + "0000"))

                {

                    Console.WriteLine("修改内存数据成功");

                    Console.WriteLine("修改为：" + Marshal.PtrToStringAuto((IntPtr)result[0]));

                }

                else Console.WriteLine("修改内存数据失败");



            Console.ReadKey();

        }

    }

}