网站 › 『 原创发布 』 › C/C++ x86 x64 自写劫持补丁 方法大杂烩

wtujoxk 发表于 7 天前

C/C++ x86 x64 自写劫持补丁 方法大杂烩

本帖最后由 wtujoxk 于 2025-9-8 09:27 编辑

在自写劫持补丁是时，内存断点，软件断点，数据写入，特征码搜索，软件汉化等每个方法都要自己一点一点写，而这些方法是重复的劳动特征码搜索 根据CPU自动选择Sunday、SSE2、AVX2进行搜索，支持堆内存，支持跨进程，支持半码搜索所以就做了一个静态库，直接调用就行
/************************************************************************
函数名称: CustomNtFunction，InitHookFunction，GetFunctionAddressByName
函数功能: 通过函数名获取ntdll函数地址，避免被hook
输入参数: functionName函数名
返    回: 函数地址
调    用: GetFunctionAddressByName("ZwProtectVirtualMemory");
/************************************************************************/
ULONG_PTR CustomNtFunction(const char* functionName);
ULONG_PTR InitHookNtFunction(const char* functionName);
ULONG_PTR GetFunctionAddressByName(const char* functionName);

/************************************************************************
函数名称: SetHwBreakpoint
函数功能: 设置线程硬件断点
输入参数: ThreadId 线程ID，0为所有线程下断，否则指定线程下断
                  Type:    参考 enum HWBP_TYPE
                  Size:    参考 enum HWBP_SIZE
                  bpAddr   断点位置
                  isMsgWaitForMultipleObjects 是否使用MsgWaitForMultipleObjects方式下断，默认false
                  建议不要使用MsgWaitForMultipleObjects会导致有界面的程序卡死，使用默认方式
返    回: 当前断点位置
调    用: SetHwBreakpoint(GetCurrentThreadId(), TYPE_EXECUTE, SIZE_1, bpAddr，false);
/************************************************************************/
ULONG_PTR SetHwBreakpoint(int ThreadId, HWBP_TYPE Type, HWBP_SIZE Size, ULONG_PTR dwAddr, bool isMsgWaitForMultipleObjects = false);

/************************************************************************
函数名称: DelHwBreakpoint
函数功能: 删除硬件断点
输入参数: contextPCONTEXT指针：ExceptionInfo->ContextRecord
                  dwAddr   断点地址：0x123456
返    回: 成功返回ture，否则返回false
调    用: DelHwBreakpoint(ExceptionInfo->ContextRecord, 0x123456);
/************************************************************************/
bool DelHwBreakpoint(PCONTEXT context, ULONG_PTR dwAddr);

/*************************************************************************************
函数名称: PatternFindEx
函数功能: 通用特征码搜索 根据CPU自动选择Sunday、SSE2、AVX2进行搜索
输入参数: resultList   保存搜索结果的集合
                  hProcess   进程句柄 HANDLE hProcess = GetCurrentProcess();
                  module   0或者NULL全进程搜索（支持堆内存），否则搜索模块 HMODULE hModule = GetModuleHandle(L"模块名称");
                  pattern    搜索特征码，支持通配符??或8?或?8 格式为：std::string pattern = "?5 ?? 77 ?8 ?? AA BB";
                  searchNum搜索个数，0为搜索整个模块
返    回: 找到地址的集合
调    用: std::vector<ULONG_PTR> resultList，PatternFindEx(resultList，hProcess, hModule, pattern, 10, 0);
*************************************************************************************/
bool PatternFindEx(std::vector<ULONG_PTR>& resultList, HANDLE hProcess, HMODULE module, std::string pattern, ULONG_PTR searchNum = 0);
bool SundayPatternFind(std::vector<ULONG_PTR>& resultList, HANDLE hProcess, ULONG_PTR startAddress, ULONG_PTR endAddress, std::string pattern, int searchNum = 0);
bool SSE2PatternFind(std::vector<ULONG_PTR>& resultList, HANDLE hProcess, ULONG_PTR startAddress, ULONG_PTR endAddress, std::string pattern, int searchNum = 0);
bool AVX2PatternFind(std::vector<ULONG_PTR>& resultList, HANDLE hProcess, ULONG_PTR startAddress, ULONG_PTR endAddress, std::string pattern, int searchNum = 0);

/***********************************************************************
函数名称: WriteMemoryData WriteMemoryDataEx支持加壳程序不允许修改内存
函数功能: 替换内存中的字符
输入参数: memAddress 内存地址 ULONG_PTR memAddress = 0x7C5C;
                  hexData 替换数据 std::string hexData = "55 ?? 77 88 ?? AA BB"; 可用通配符
返    回: 替换成功返回首字节(可用于int3断点首字节恢复)，否则返回""
调    用: std::string returnStr = "";设置int3断点 returnStr = WriteMemoryData(bp,"CC");
                  returnStr = WriteMemoryData(memAddress, replaceData);
                  unicode编码的内容用"0000"截断，Ansi编码的内容用"00"截断，replaceData + "0000"
***********************************************************************/
std::string WriteMemoryData(ULONG_PTR memAddress, std::string hexData);

/***********************************************************************
函数名称: ReadMemoryData
函数功能: 读取内存中的字符串
输入参数: memAddress 内存地址
                  unicode 编码，默认为unicode,否则其它
返    回: 成功返回字符串，否则为""
调    用: ULONG_PTR memAddress = 0x7C5C;
                  std::string result = "";
                  result = ReadMemoryData(memAddress);
                  #include <string>   #include <windows.h>
                  32位内存地址计算：*(int*)(breakpoint + 1)
                  64位内存地址计算：*(int*)(breakpoint + 3) + breakpoint + 7
***********************************************************************/
std::string ReadMemoryData(ULONG_PTR memAddress, bool unicode);

/***********************************************************************
函数名称: HexToAnsiString
函数功能: 十六进制字符串转换为askii字符串
输入参数: hex 十六进制字符串
返    回: 成功返回字符串
调    用: std::string hex_str = "D7A2B2E1";或者std::string hex_str = "D7 A2 B2 E1";
                  std::string result = "";
                  result = HexToAnsiString(hex_str);返回：注册
                  #include <string>
***********************************************************************/
std::string HexToAnsiString(std::string hex);

/***********************************************************************
函数名称: AnsiStringToHex
函数功能: ascii字符串转换为十六进制字符串
输入参数: str 字符串
返    回: 成功返回十六进制字符串
调    用: std::string ascii_str = "注册";
                  std::string result = "";
                  result = AnsiStringToHex(ascii_str);返回：D7A2B2E1
                  #include <string>
***********************************************************************/
std::string AnsiStringToHex(std::string str);

/***********************************************************************
函数名称: HexToUnicodeString
函数功能: 十六进制字符串转换为Unicode字符串
输入参数: hex 十六进制字符串
返    回: 成功返回字符串
调    用: std::string hex_str = "E86C8C51";或者std::string hex_str = "E8 6C 8C 51";
                  std::string result = "";
                  result = HexToUnicodeString(hex_str);
                  #include <string>#include <windows.h>
***********************************************************************/
std::string HexToUnicodeString(std::string hex);

/***********************************************************************
函数名称: UnicodeStringToHex
函数功能: Unicode字符串转换为十六进制字符串
输入参数: str 字符串
返    回: 成功返回十六进制字符串
调    用: std::wstring unicode_str = L"注册";
                  std::string result = "";
                  result = UnicodeStringToHex(unicode_str);返回：E86C8C51
                  #include <string>
***********************************************************************/
std::string UnicodeStringToHex(std::wstring str);

/***********************************************************************
函数名称: string2wstring
函数功能: 单字符串转为宽字符串
输入参数: str 单字符串
返    回: 成功返回宽字符串
调    用: std::wstring wstr = string2wstring("注册");
***********************************************************************/
std::wstring string2wstring(std::string str);

/***********************************************************************
函数名称: wstring2string
函数功能: 宽字符串转为单字符串
输入参数: wstr 宽字符串
返    回: 成功返回单字符串
调    用: std::string str = wstring2string(L"注册");
***********************************************************************/
std::string wstring2string(std::wstring wstr);

/***********************************************************************
函数名称: SplitString
函数功能: 字符串分割
输入参数: vectorStr 保存分割的集合
                  sourceStr 源字符串
                  splitSymbol 分割字符
返    回: 成功返回分割好的集合
调    用: std::vector<std::string> vec; SplitString(vec, "001=225=77865=38", "=");
***********************************************************************/
bool SplitString(std::vector<std::string>& vectorStr, std::string sourceStr, std::string splitSymbol);

/***********************************************************************
函数名称: HexToString
函数功能: 十六进制转字符串
输入参数: hexValue 十六进制 0xFF
返    回: 成功返回字符串
调    用: std::string str = HexToString(0xFF);
***********************************************************************/
std::string HexToString(BYTE hexValue);

/***********************************************************************
函数名称: VAToFOA
函数功能: VA虚拟地址转FOA文件偏移位置
输入参数: hModule 模块
                  dwVA VA虚拟地址
返    回: 成功返回文件偏移位置
调    用: HMODULE hModule = GetModuleHandle(L"模块名称");或者LoadLibrary(L"模块名称");
                  ULONG_PTR address = VAToFOA(hModule, 0x123456);
***********************************************************************/
ULONG_PTR VAToFOA(HMODULE hModule, ULONG_PTR dwVA);

/***********************************************************************
函数名称: FOAToVA
函数功能: FOA文件偏移位置转VA虚拟地址
输入参数: hModule 模块
                  dwFOA FOA文件偏移位置
返    回: 成功返回模块虚拟地址
调    用: HMODULE hModule = GetModuleHandle(L"模块名称");或者LoadLibrary(L"模块名称");
                  ULONG_PTR address = FOAToVA(hModule, 0x123456);
***********************************************************************/
ULONG_PTR FOAToVA(HMODULE hModule, ULONG_PTR dwFOA);

/***********************************************************************
函数名称: IsContains
函数功能: 字符串包含某个字符
输入参数: sourceStr 源字符串
                  findStr 要查找的字符串
返    回: 成功返回查找到包含字符串
调    用: bool isContains = IsContains("content", "ten");
***********************************************************************/
bool IsContains(std::string sourceStr, std::string findStr);

toneger 发表于 7 天前

沙发~！
谢谢大神的分享~！

qqycra 发表于 7 天前

大佬分享了Lib/dll和例子

linxiansen 发表于 7 天前

感谢发布原创作品，PYG有你更精彩！

GentleQuan 发表于 7 天前

牛逼，写了这么多

qinccckencn 发表于 7 天前

谢谢大神的分享~！学习学习

wszjf 发表于 6 天前

感谢听雨老师分享自写静态库

chchhau 发表于 6 天前

PYG20周年生日快乐！

ynb168c 发表于 6 天前

谢谢大神的分享~

yuwei 发表于 6 天前

谢谢大神的分享~！

查看完整版本: C/C++ x86 x64 自写劫持补丁 方法大杂烩