VC++ 定位特征码方法《方法来自 小蓝VC++ 传奇3 逆向三部曲》 在此感谢小蓝的教程!!
//格式化输出字符串信息
CString gameCall::formatString(CString msg,CString addr,CString value)
{
addr = msg + " " + "地址 ----> 0x" + addr + " ";
value = "数值 ----> 0x" + value;
return addr + value + "\r\n";
}
/************************************************************************/
/*查找call地址
msgString 提示信息字符串
code 特征码数组
codeSize 数组长度
startAddr 开始查找地址
direction 查找方向
e8Count e8的数量
callValue call的数值
callAddr call的地址 --也就是e8的地址
/************************************************************************/
//第一种方法为查找连续的特征码方法,不连续的请看下面第二种
CString gameCall::findCallAddr(CString msgString,CString code[],int codeSize,long startAddr,int direction,int e8Count,int *callValue,int *callAddr)
{
int idx = 1; //默认向下找
if (direction == up)
{
idx = -1; //向上找则idx为-1
}
bool bFind = false;
CString addr = "";
CString value = "";
CString msg = msgString;
int e8_count = 0; //e8的数量 也就是有几个call
long searchAddr = startAddr; //搜索的起始地址
byte * pByte = (unsigned char *)searchAddr; //把起始地址以byte的显示,定义为byte指针类型
char* p = "";
int i = 0;
//查找死码位置
while(i < 100000){ //10w次循环 直到找到和特征码匹配的
for (int j = 0;j < codeSize ;j++)
{
if (*(pByte + j) == strtol(code[j],&p,16))
{
bFind = true;
}else
{
bFind = false;
break;
}
}
if (bFind == true)
{
break;
}
/*
if ((*pByte == 0xff) //查找非连续特征码的方法
&& (*(pByte+ 0x1) == 0x08)
&& (*(pByte+ 0x2) == 0x00)
&& (*(pByte+ 0x3) == 0x00)
&& (*(pByte+ 0x4) == 0x00)
&& (*(pByte+ 0x5) == 0x3f)
&& (*(pByte+ 0x6) == 0x3f)
&& (*(pByte+ 0x7) == 0x3f)
&& (*(pByte+ 0x8) == 0x3f)
)
{
//str.Format("%x",pByte);
break;
}
*/
i++;
pByte++;
}
//查找call的位置
while(i < 100000){
if ((*pByte == 0xe8))
{
e8_count ++;
if (e8_count == e8Count)
{
value.Format("%x",pByte);
addr.Format("%x",pByte);
break;
}
}
i++;
pByte += idx;
}
value.Format("%x",(pByte + (*(int *)(pByte + 1)) + 5));
if ( NULL != callAddr)
{
*callAddr = (int)pByte;
}
//计算call地址
if ( NULL != callValue)
{
*callValue = (int )(pByte + (*(int *)(pByte+1)) + 5);
}
return formatString(msg,addr,value);
}