通过HOOK 常见api监视内存偷检测思路及易语言实现附成品和源码

cocop

无聊逛论坛时，偶然发现了关于偷 内存检测的帖子，于是思考了下偷内存的实现。    最先想到的方法肯定是内存对比，但因需要对比游戏全部内存，效率差强人意，而且内存对比需要不断的改变需要获取的内存以过滤无关数据，大部分检测又是只写一次，不会重写多次，根本无法从海量数据中挑出自己需要的。
    之后查询相关资料了解到内存监视器的原理是Hook kernel32.dll中的WriteProcessMemory实现监视更改内存的作用。对于我这种菜鸡来说，Hook是仅仅了解过但又从未自己去实现过的新奇事物，自然勾动着我的好奇心。于是我去查阅了相关的资料、代码明白了hook监视内存的实现方法。在这里做下笔记加深理解。
   下面是hook的实现过程，大牛就别看了，这里拿WriteProcessMemory做示范
    1.保存系统函数入口处的代码，此步骤的目的是便于恢复。

易语言里粘贴即可');" value="　复制代码　" class="pn pnc"/>  

WriteProcessMemory_.钩子地址 ＝ GetProcAddress (GetModuleHandleA (“kernel32.dll”), “WriteProcessMemory”)

WriteProcessMemory_.钩子地址 ＝ GetProcAddress (GetModuleHandleA (“kernel32.dll”), “WriteProcessMemory”)

这里GetModuleHandleA获取了kernel32.dll的模块地址，接着GetProcAddress获取WriteProcessMemory的地址。

  

VirtualProtect (WriteProcessMemory_.钩子地址, 8, 64, WriteProcessMemory_.OldProtect)

VirtualProtect (WriteProcessMemory_.钩子地址, 8, 64, WriteProcessMemory_.OldProtect)

改变要hook地址的虚拟内存页保护属性为64

  

WriteProcessMemory_.原始数据 ＝ 指针到字节集 (WriteProcessMemory_.钩子地址, 8)

WriteProcessMemory_.原始数据 ＝ 指针到字节集 (WriteProcessMemory_.钩子地址, 8)

保存原始数据

    2.替换掉进程中的系统函数入口指向我们的函数

  

置汇编代码 ({  })
清空汇编代码 ()
Mov_EAX (到整数 (&_WriteProcessMemory))
JMP_EAX ()
WriteProcessMemory_.代码 ＝ 取汇编代码 ()
写到内存 (WriteProcessMemory_.代码, WriteProcessMemory_.钩子地址, 8)

.版本 2<br /> <br /> 置汇编代码 ({  })<br /> 清空汇编代码 ()<br /> Mov_EAX (到整数 (&_WriteProcessMemory))<br /> JMP_EAX ()<br /> WriteProcessMemory_.代码 ＝ 取汇编代码 ()<br /> 写到内存 (WriteProcessMemory_.代码, WriteProcessMemory_.钩子地址, 8)

因为我对机器语言不了解，拼接颇为费劲，故利用的超级模块，转换为字节集后写到hook函数的入口。
Mov_EAX (到整数 (&_WriteProcessMemory))，这里_WriteProcessMemory是我们重写的WriteProcessMemory,意思是将这个地址赋值给EAX寄存器
JMP_EAX () 跳转到我们编写的函数地址。
    3.当系统函数被调用，立即跳转到我们的函数

  

子程序名	返回值类型	公开	备 注
_WriteProcessMemory	逻辑型
参数名	类 型	参考	可空	数组	备 注
进程句柄	整数型
内存地址	整数型
缓冲指针	整数型	√
内存长度	整数型
实际长度	整数型	√

变量名	类 型	静态	数组	备 注
result	逻辑型

R_WriteProcessMemory ()
result ＝ WriteProcessMemory (进程句柄, 内存地址, 缓冲指针, 内存长度, 实际长度)
如果 (PID ＞ 0)
R_ReadProcessMemory ()  ' 暂时屏蔽读
Write (“WriteProcessMemory”, “进程句柄：” ＋ 到文本 (进程句柄) ＋ tab ＋ “内存地址：” ＋ Get_Base_Address (内存地址) ＋ tab ＋ “内存长度:” ＋ 到文本 (内存长度) ＋ tab ＋ “写入数据：” ＋ _字节集_到十六进制 (读内存字节集 (PID, 内存地址, 内存长度)), 到文本 (result))
写到内存 (ReadProcessMemory_.代码, ReadProcessMemory_.钩子地址, 8)

Write (“WriteProcessMemory”, “进程句柄：” ＋ 到文本 (进程句柄) ＋ tab ＋ “内存地址：” ＋ Get_Base_Address (内存地址) ＋ tab ＋ “内存长度:” ＋ 到文本 (内存长度) ＋ tab ＋ “写入数据因为未获取到Crossfire进程ID而无法获取”, 到文本 (result))
写到内存 (WriteProcessMemory_.代码, WriteProcessMemory_.钩子地址, 8)
返回 (result)

子程序名	返回值类型	公开	备 注
R_WriteProcessMemory

如果真 (取字节集长度 (WriteProcessMemory_.原始数据) ＞ 0)
写到内存 (WriteProcessMemory_.原始数据, WriteProcessMemory_.钩子地址, )

.版本 2<br /> <br /> .子程序 _WriteProcessMemory, 逻辑型<br /> .参数 进程句柄, 整数型<br /> .参数 内存地址, 整数型<br /> .参数 缓冲指针, 整数型, 参考<br /> .参数 内存长度, 整数型<br /> .参数 实际长度, 整数型, 参考<br /> .局部变量 result, 逻辑型<br /> <br /> R_WriteProcessMemory ()<br /> result ＝ WriteProcessMemory (进程句柄, 内存地址, 缓冲指针, 内存长度, 实际长度)<br /> <br /> .如果 (PID ＞ 0)<br />     R_ReadProcessMemory ()  ' 暂时屏蔽读<br />     Write (“WriteProcessMemory”, “进程句柄：” ＋ 到文本 (进程句柄) ＋ tab ＋ “内存地址：” ＋ Get_Base_Address (内存地址) ＋ tab ＋ “内存长度:” ＋ 到文本 (内存长度) ＋ tab ＋ “写入数据：” ＋ _字节集_到十六进制 (读内存字节集 (PID, 内存地址, 内存长度)), 到文本 (result))<br />     写到内存 (ReadProcessMemory_.代码, ReadProcessMemory_.钩子地址, 8)<br /> <br /> .否则<br />     Write (“WriteProcessMemory”, “进程句柄：” ＋ 到文本 (进程句柄) ＋ tab ＋ “内存地址：” ＋ Get_Base_Address (内存地址) ＋ tab ＋ “内存长度:” ＋ 到文本 (内存长度) ＋ tab ＋ “写入数据因为未获取到Crossfire进程ID而无法获取”, 到文本 (result))<br /> .如果结束<br /> 写到内存 (WriteProcessMemory_.代码, WriteProcessMemory_.钩子地址, 8)<br /> 返回 (result)<br /> <br /> .版本 2<br /> <br /> .子程序 R_WriteProcessMemory<br /> <br /> .如果真 (取字节集长度 (WriteProcessMemory_.原始数据) ＞ 0)<br />     写到内存 (WriteProcessMemory_.原始数据, WriteProcessMemory_.钩子地址, )<br /> .如果真结束

首先调用子程序R_WriteProcessMemory，还原入口，毕竟还是要调用WriteProcessMemory实现功能的，我们只是获取数据，不是破坏功能。
之后调用正经的WriteProcessMemory API，得到结果result,将参数带result输出，若要获取写入了什么，调用读内存获取即可。
这里暂时屏蔽ReadProcessMemory是因为同时hook了ReadProcessMemory会干扰结果。
    4.再修改系统函数入口指向我们的函数，便于下次调用

  

写到内存 (WriteProcessMemory_.代码, WriteProcessMemory_.钩子地址, 8)

写到内存 (WriteProcessMemory_.代码, WriteProcessMemory_.钩子地址, 8)

但是只hook一个API怎么可能满足的了我呢？于是便写了GetModuleHandleA，ReadProcessMemory，VirtualAllocEx，VirtualProtect，VirtualProtectEx。
file:///C:\Users\coco\AppData\Roaming\Tencent\Users\794087777\TIM\WinTemp\RichOle\2NSCS%H4I3I35NA}SPWD))M.png


再一次无聊逛论坛时发现，他们的监视器居然能通过内存找到对应的静态地址！那我肯定坐不住了啊，写起来。
目前只有获取一级基址的思路，多级不能调试游戏估计莫得办法，望各位大哥指点。

  

子程序名	返回值类型	公开	备 注
Get_Base_Address	文本型		输入10进制地址，返回16进制一级基址
参数名	类 型	参考	可空	数组	备 注
address	整数型

变量名	类 型	静态	数组	备 注
i	整数型

计次循环首 (取数组成员数 (模块信息), i)
如果真 (address ≥ 模块信息 [i].基地址 且 address ＜ 模块信息 [i].基地址 ＋ 模块信息 [i].大小)
返回 (模块信息 [i].文件名 ＋ “+” ＋ 十到十六 (address － 模块信息 [i].基地址))

计次循环尾 ()
返回 (到文本 (address))

.版本 2<br /> <br /> .子程序 Get_Base_Address, 文本型, , 输入10进制地址，返回16进制一级基址<br /> .参数 address, 整数型<br /> .局部变量 i, 整数型<br /> <br /> .计次循环首 (取数组成员数 (模块信息), i)<br />     .如果真 (address ≥ 模块信息 <i>.基地址 且 address ＜ 模块信息 <i>.基地址 ＋ 模块信息 <i>.大小)<br />         返回 (模块信息 <i>.文件名 ＋ “+” ＋ 十到十六 (address － 模块信息 <i>.基地址))<br />     .如果真结束<br /> <br /> .计次循环尾 ()<br /> 返回 (到文本 (address))

用timeSetEvent开启了一个时钟监测是否存在游戏，若有游戏则获取PID并用超级模块提供的取进程模块获取模块信息。

  

XF_Timer ＝ timeSetEvent (500, 0, &Judge_XF_Timer, 1, 1)

XF_Timer ＝ timeSetEvent (500, 0, &Judge_XF_Timer, 1, 1)

  

子程序名	返回值类型	公开	备 注
Judge_XF_Timer

变量名	类 型	静态	数组	备 注
P_ID	整数型

P_ID ＝ XF_PID ()
如果 (P_ID ＞ 0)
PID ＝ P_ID
取进程模块 (PID, 模块信息)
timeKillEvent (XF_Timer)

PID ＝ -1

.版本 2<br /> <br /> .子程序 Judge_XF_Timer<br /> .局部变量 P_ID, 整数型<br /> <br /> P_ID ＝ XF_PID ()<br /> .如果 (P_ID ＞ 0)<br />     PID ＝ P_ID<br />     取进程模块 (PID, 模块信息)<br />     timeKillEvent (XF_Timer)<br /> <br /> .否则<br />     PID ＝ -1<br /> .如果结束

Get_Base_Address的作用便是输入一个内存，循环比较模块信息，若在模块内，返回对应基址，若找不到则返回原地址。


编译为dll，注入 进程测试，这里就不拿XF测试了，自己随便写了个测试程序把名字改成了crossfire.exe测试。

测试还算挺W美的。至于读写之前为什么要VirtualProtectEx应该是得改内存的属性，避免读写不了。若有错误，希望指正！谢谢各位大佬！

使用方法：dll注入相关 即可，怕成品有毒的就自己编译，模块也只是个超级模块，还是不放心就用自己的超级模块。
理论上注入游戏的 dll也能获取数据，把自己的dll也注入游戏就行。但得过了游戏的保护，我菜，就不注入游戏献丑了。需要的大佬自己拿着源码改一改过一下保护应该就可以。
还需要hook其他api稍稍改一下就行，不费劲~


最后附上源码模块和成品！

游客，如果您要查看本帖隐藏内容请回复

联系我时，请说是在 挂海论坛 上看到的，谢谢！

渔翁

，如果您要查看本帖

12345666

看看再说吧
看看再说吧

18524175060

好好好，我拿走了 嘿嘿

1109037760

联系我时，请说是在 挂海论坛 上看到的，谢谢

阿科

841402241

好好好，我拿走了 嘿嘿

5858528a

首都华盛顿峰会京东方房管局

HR666

感谢楼主分享

cwctt

支持一下 挺强大的

977@

感谢楼主分享