#include <iostream>
#include <vector>
using namespace std;
typedef struct __MemRleace
{
	byte souce[256];
	int in_len;
	byte out[256];
	int out_len;


}MemRplace;



//提权
bool EnableDebugPrivilege()
{
	HANDLE hToken;
	LUID sedebugnameValue;
	TOKEN_PRIVILEGES tkp;
	if (!OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken))
	{
		return   FALSE;
	}
	if (!LookupPrivilegeValue(NULL, SE_DEBUG_NAME, &sedebugnameValue))
	{
		CloseHandle(hToken);
		return false;
	}
	tkp.PrivilegeCount = 1;
	tkp.Privileges[0].Luid = sedebugnameValue;
	tkp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
	if (!AdjustTokenPrivileges(hToken, FALSE, &tkp, sizeof(tkp), NULL, NULL))
	{
		CloseHandle(hToken);
		return false;
	}
	return true;
}

#include <tlhelp32.h>
DWORD  FindProcessByName(char* Name)
{
	PROCESSENTRY32 PP;
	PP.dwSize = sizeof(PROCESSENTRY32);
	HANDLE H_p = ::CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
	if (H_p == INVALID_HANDLE_VALUE)
	{
		return 0;
		//	 printf("erro");
	}
	BOOL ret = ::Process32First(H_p, &PP);
	while (ret)
	{
		if (strnicmp(Name, PP.szExeFile, strlen(Name)) == NULL)
		{
			::CloseHandle(H_p);
			return PP.th32ProcessID;
		}
		ret = Process32Next(H_p, &PP);
	}

	::CloseHandle(H_p);
	return 0;
}
void FindMemory(DWORD pid, vector<MemRplace>& src)
{
	int findcount =0;
	MEMORY_BASIC_INFORMATION mbi;
	DWORD memoryAddress = 0;
	BYTE *dataBuffer = NULL;
	BOOL readReturn = 0;
	HANDLE pHandle = OpenProcess(PROCESS_ALL_ACCESS, 0, pid);
	while (VirtualQueryEx(pHandle, (LPVOID)memoryAddress, &mbi, sizeof(mbi)))
	{
		if (mbi.Type == MEM_PRIVATE && mbi.Protect != PAGE_EXECUTE && mbi.Protect != PAGE_NOACCESS && mbi.Protect != 128)
		{
			dataBuffer = new BYTE[mbi.RegionSize];
			memset(dataBuffer, 0, mbi.RegionSize);
			readReturn = ReadProcessMemory(pHandle, (LPVOID)memoryAddress, dataBuffer, mbi.RegionSize, 0);
			if (readReturn != 0)
			{
				for (int i = 0; i< mbi.RegionSize; i++)
				{

					for each (auto var in src)
					{
						if (i+var.in_len<mbi.RegionSize)
						{
							if (memcmp(dataBuffer + i, var.souce, var.in_len) == 0)
							{
								DWORD  ol;
								//WriteProcessMemory(pHandle, (LPVOID)(memoryAddress+ i), var.out, var.out_len, &ol);
								findcount++;
								printf("地址：%x 找到：%d  %S size:%d\r\n", memoryAddress + i ,findcount, (WCHAR*)(dataBuffer + i),var.in_len);
								break;

							}
						}
						
					}
				
				}
			}
			else
			{
			}
			delete[]dataBuffer;
		}
		memoryAddress = memoryAddress + mbi.RegionSize;
	}
	CloseHandle(pHandle);
}

void  add_WCHAR_code(vector<MemRplace>&src, WCHAR* code,WCHAR* writecode)
{
	//编译器若是多字节 sizeof wchar的大小不同
	WCHAR* ZZ = L"1";
	int sizexor = wcslen(ZZ) == 1?sizeof(WCHAR):1;
	MemRleace xx;
	memcpy(xx.souce, code, wcslen(code));
	xx.in_len = wcslen(code)*sizexor;

	memcpy(xx.out, writecode, wcslen(writecode));
	xx.out_len = wcslen(writecode);

	src.push_back(xx);
	
}
int main()
{
	EnableDebugPrivilege();
	DWORD pid = FindProcessByName("services");
	if (pid !=0)
	{
		vector<MemRplace> FindArray;
		add_WCHAR_code(FindArray, L"VMware 物理磁盘助手服务", L"1");
		add_WCHAR_code(FindArray, L"VM", L"1");
		FindMemory(pid, FindArray);
		getchar();
	}

}