32位无视保护无驱取模块地址

用户341522 · 发表于 2023-12-26 00:59:19

以前用于TP游戏32的很早之前的了游戏有保护可以直接取出模块地址今天看到就分享大家看看思路吧

.版本 2
.支持库 spec

.子程序取模块地址, 长整数型, 公开
.参数 ProcessId, 整数型
.参数 ModuleName, 文本型
.局部变量 hProcess
.局部变量当前地址, 整数型
.局部变量内存属性, 字节集
.局部变量页面名称, 字节集
.局部变量 ModeName, 字节集
.局部变量 AnsiName, 字节集
.局部变量 CompName, 字节集
.局部变量返回地址, 长整数型

hProcess ＝ OpenProcess__ (1024, 0, ProcessId)
内存属性＝取空白字节集 (28)
页面名称＝取空白字节集 (264)
ModeName ＝取空白字节集 (8)
AnsiName ＝取空白字节集 (8)
CompName ＝取空白字节集 (8)
RtlInitAnsiString__ (AnsiName, 取变量数据地址 (ModuleName))
RtlAnsiStringToUnicodeString__ (CompName, AnsiName, 真)
.判断循环首 (ZwQueryVirtualMemory__ (hProcess, 当前地址, 0, 内存属性, 28, 0) ＝ 0)
.如果真 (取字节集数据 (内存属性, 3, 25) ＝ 16777216 且取字节集数据 (内存属性, 3, 5) ＝当前地址)
      .如果真 (ZwQueryVirtualMemory__ (hProcess, 当前地址, 2, 页面名称, 264, 0) ＝ 0)
         RtlInitUnicodeString__ (ModeName, wcsrchr__ (取字节集数据 (页面名称, 3, 5), 92) ＋ 2)
         .如果真 (RtlCompareUnicodeString__ (ModeName, CompName, 真) ＝ 0)
            返回地址＝当前地址
            跳出循环 ()
         .如果真结束

      .如果真结束

.如果真结束
当前地址＝取字节集数据 (内存属性, 3, 1) ＋取字节集数据 (内存属性, 3, 13)
.判断循环尾 ()
RtlFreeUnicodeString__ (CompName)
.如果真 (hProcess ＞ 0)
CloseHandle__ (hProcess)
.如果真结束

返回 (返回地址)

dphpzmd · 发表于 2024-1-26 14:34:25

支持开源~！感谢分享

鸡米花 · 发表于 2023-12-31 11:28:51

学习一下

南少 · 发表于 2023-12-29 15:38:26

6666666看不懂但是我承认你实力很强,但是我只需要一招.你就得返厂大修

lmwdz · 发表于 2023-12-28 16:36:06

感谢分享，很给力！~

豆豆灰常开心 · 发表于 2023-12-28 07:52:23

感谢楼主分享！

查过 · 发表于 2023-12-28 07:47:49

感谢分享，很给力！~

LDL520 · 发表于 2023-12-27 22:40:35

6666666666666666666666666666

1090448765 · 发表于 2023-12-27 13:14:14

感谢分享

447485268 · 发表于 2023-12-27 10:38:38

支持开源~！感谢分享

		自动登录	找回密码
密码			注册

[易源码分享] 32位无视保护无驱取模块地址

评分

[易源码分享] 32位 无视保护 无驱取模块地址

评分

[易源码分享] 32位无视保护无驱取模块地址