0

我一直在编写进程内存时遇到问题，在线查看资源我试图编译作弊引擎的方式。

BOOLEAN fWriteProcessMemory(ULONG PID, PEPROCESS PEProcess, PVOID Address, ULONG Size, PVOID Buffer)
{
    PEPROCESS selectedprocess = PEProcess;
    KAPC_STATE apc_state;
    NTSTATUS ntStatus = STATUS_UNSUCCESSFUL;

    if (selectedprocess == NULL)
    {
        if (!NT_SUCCESS(PsLookupProcessByProcessId((PVOID)(UINT_PTR)PID, &selectedprocess)))
            return FALSE;
    }

    UINT_PTR temp = (UINT_PTR)Address;

    RtlZeroMemory(&apc_state, sizeof(apc_state));

    KeAttachProcess((PEPROCESS)selectedprocess);

    char* target;
    char* source;
    unsigned int i;

    target = Address;
    source = Buffer;

    for (i = 0; i<Size; i++)
    {
        target[i] = source[i];
    }
    ntStatus = STATUS_SUCCESS;

    KeDetachProcess();

    return NT_SUCCESS(ntStatus);
}

尽管在调用它时出现了问题，每次 target[i] = source[i]; 都会导致 BSOD；

可能是我输入了不正确的“地址”/“大小”/“缓冲区”，但这是我的配置：

fWriteProcessMemory(GlobalProcessID, GlobalProcessPE, (PVOID)(*(ULONG*)pBuf), sizeof(ULDat), (PVOID)ULDat)

将 ULDat 作为要写入的内存 (ULONG)，将 Irp->AssociatedIrp.SystemBuffer 的 pBuf 作为要写入的内存地址。

任何帮助将不胜感激，谢谢。

4

1 回答 1

2

如果ULDat = 6969（PVOID）ULDat 是指向内存位置地址 6969（或 0x1b39 hexa）的指针，那么在您的循环中，source[i] 试图从地址（0x1b39 + i）中选择一个字符，这就是它蓝屏的原因。

所以是的，在那里使用 &ULDat，这就是解决方案。

于 2016-02-09T08:41:13.453 回答