实例游戏内存修改器----CUI版本模拟

实现说明：
　　目标进程内存中很可能存在多个你要搜索的值， 所以在进行第一次搜索的时候， 要把搜索到的地址记录下来，然后让用户改变要搜索的值，再在记录的地址中搜索，直到搜索到的地址惟一为止。为此写两个辅助函数和 3 个全局变量。
　　BOOL FindFirst(DWORD dwValue); 　　　　 // 在目标进程空间进行第一次查找
　　BOOL FindNext(DWORD dwValue); 　　　　// 在目标进程地址空间进行第2、3、4……次查找
　　DWORD g_arList[1024];　　　　　　　　     // 地址列表
　　int g_nListCnt; 　　　　　　　　　　　　      // 有效地址的个数
　　HANDLE g_hProcess;　　　　　　　　　　    // 目标进程句柄
　　上面这 5 行代码就组成了一个比较实用的搜索系统。比如游戏中显示的金钱值是 12345，首先将 12345 传给 FindFirst 函数进行第一次搜索，FindFirst 函数会将游戏进程内存中所有内容为 12345 的地址保存在 g_arList 全局数组中，将这样地址的个数记录在 g_nListCnt 变量中。FindFirst 函数返回以后，检查 g_nListCnt 的值，如果大于 1 就说明搜索到的地址多于 1 个。这时应该做一些事情改变游戏显示的金钱值。比如改变后金钱值变成了 13345，你要以 13345 为参数调用 FindNext 函数。这个函数会在 g_arList 数组记录的地址中进行查找，并更新g_arList 数组的记录， 将所有内容为 13345 的地址写到里面， 将这样地址的个数写到 g_nListCnt 变量中。FindNext 函数返回后，检查 g_nListCnt 的值，如果不等于 1 还继续改变金钱值，调用函数 FindNext，直到最终 g_nListCnt 的值为 1 为止。这时，g_arList[0]的值就是目标进程中保存金钱值的地址。

程序运行说明：
现在基本功能都有了，启动程序。
（1）输入 199，发现找出的地址不惟一。
（2）在 TestExe.exe 窗口敲下回车，改变后再进行一次查找，这样循环直到找到的地址惟
一为止。
（3）输入期待的值，修改成功！

 TestExe.cpp
 1 // 辅助测试程序------类比于游戏程序
#include <stdio.h>

int g_nNum;            // 全局变量测试

int main()
{
    int i = 198;    // 局部变量测试
    g_nNum = 1003;
    
    while (1)
    {
        printf("i = %d, address = %08lX; g_nNum = %d, address = %08lX
", ++i, &i, ++g_nNum, &g_nNum);
        getchar();            // 按回车可以使两个变量值递增变化一，但是地址是不变的，为的是在MemRepair中正确找到该变量的唯一地址。
    }
    return 0;
}

  MemRepair.cpp
  1 #include <windows.h>
#include <stdio.h>

HANDLE g_hProcess;
int g_nListCnt;
int g_arList[1024];

/*
    Windows 采用了分页机制来管理内存，每页的大小是 4KB（在 x86 处理器上） 。也就是说
Windows 是以 4KB 为单位来为应用程序分配内存的。所以可以按页来搜索目标内存，以提高
搜索效率。
*/
//读取一页内存
BOOL CompareAPage(DWORD dwBaseAddress, DWORD dwValue)
{    
    BYTE arBytes[4096];
    if (!::ReadProcessMemory(g_hProcess, (LPVOID)dwBaseAddress, arBytes, 4096, NULL))
    {
        return FALSE;        // 此页不可读
    }
    // 在这一页内存中查找
    DWORD* pdw;
    for (int i = 0; i < 4*1024-3; ++i)
    {
        pdw = (DWORD*)&arBytes[i];
        if (pdw[0] == dwValue)    // 等于要查找的值
        {
            if (g_nListCnt >= 1024)
            {
                return FALSE;
            }
            // 添加到全局变量中
            g_arList[g_nListCnt++] = dwBaseAddress + i;
        }
    }
    return TRUE;
}

/*
    应该在目标进程的整个用户地址空间进行搜索。在进程的整个 4GB(即2^32) 地址中，Windows 98
系列的操作系统为应用程序预留的是 4MB 到 2GB 部分，Windows 2000 系列的操作系统预留
的是 64KB 到 2GB 部分，
*/

// FindFirst 函数将所有符合条件的内存地址都记录到了全局数组 g_arList 中。
BOOL FindFirst(DWORD dwValue)
{
    const DWORD dwOneGB = 1024 * 1024 * 1024;        // 1GB
    const DWORD dwOnePage = 4 * 1024;                // 4KB
    if (g_hProcess == NULL)
    {
        return FALSE;
    }

    // 查看操作系统类型，以决定开始地址
    DWORD dwBase;
    OSVERSIONINFO vi = {sizeof(vi)};
    ::GetVersionEx(&vi);
    if (vi.dwPlatformId == VER_PLATFORM_WIN32_WINDOWS)
    {
        dwBase = 4 * 1024 * 1024;        // Windows 98 系列，4MB
    }
    else
    {
        dwBase = 64 * 1024;            // Windows NT 系列，64KB
    }

    // 在开始地址到2GB的地址空间进行查找
    for (; dwBase < 2 * dwOneGB; dwBase += dwOnePage)
    {
        // 比较一页的内存
        CompareAPage(dwBase, dwValue);
    }
    return TRUE;
}

BOOL FindNext(DWORD dwValue)
{
    // 保存m_arList数组中有效地址的个数，初始化新的m_nListCnt值
    int nOrgCnt = g_nListCnt;
    g_nListCnt = 0;
    
    // 在m_arList数组记录的地址处查找
    BOOL bRet = FALSE;
    DWORD dwReadValue;
    for (int i = 0; i < nOrgCnt; ++i)
    {
        if (::ReadProcessMemory(g_hProcess, (LPVOID)g_arList[i], &dwReadValue, sizeof(DWORD), NULL))
        {
            if (dwReadValue == dwValue)
            {
                g_arList[g_nListCnt++] = g_arList[i];
                bRet = TRUE;
            }
        }
    }
    return bRet;
}

// 打印出搜索到的地址
void ShowList()
{
    for (int i = 0; i < g_nListCnt; ++i)
    {
        printf("%08lX
", g_arList[i]);
    }
}

// 重写指定地址的值
BOOL WriteMemory(DWORD dwAddr, DWORD dwValue)
{
    return::WriteProcessMemory(g_hProcess, (LPVOID)dwAddr, &dwValue, sizeof(DWORD), NULL);
}

int main()
{
    // 启动TestExe.exe进程
    char szFileName[] = "..\TestExe\Debug\TestExe.exe";
    STARTUPINFO si = {sizeof(si)};
    PROCESS_INFORMATION pi;
    ::CreateProcess(NULL, szFileName, NULL, NULL, FALSE, CREATE_NEW_CONSOLE, NULL, NULL, &si, &pi);

    // 关闭线程句柄，既然我们不使用
    ::CloseHandle(pi.hThread);
    g_hProcess = pi.hProcess;

    // 输入要修改的值
    int iVal;
    printf("Input value = ");
    scanf("%d", &iVal);

    // 进行第一次查找
    FindFirst(iVal);

    // 打印出搜索的结果
    ShowList();

    while(g_nListCnt > 1)
    {
        printf("Input val = ");
        scanf("%d", &iVal);

        // 进行下次搜索
        FindNext(iVal);
        // 显示搜索结果
        ShowList();
    }
    
    if (g_nListCnt == 1)    // 已经锁定了要修改的地址
    {
        // 设置新值
        printf("New value = ");
        scanf("%d", &iVal);
        // 写入新值
        if (WriteMemory(g_arList[0], iVal))
        {
            printf("Write data successfully
");
        }
    }
    ::CloseHandle(g_hProcess);
    return 0;
}

 运行结果：

（1）在MemRepair.exe中输入值199查找，发现地址不唯一，有一百多个；

（2）在TestExe中打回车，使变量变为200，在MemRepair.exe中输入200查找，发现唯一一个地址，并且与TestExe中的地址相同；

（3）在MEMRepair.exe中输入希望修改的新值300，回车之后，在TestExe.exe中再打回车，发现变量已经变为301而不是201了。

截图如下：