-
-
[原创]C/C x86 x64 自写劫持补丁 方法大杂烩
-
发表于: 2024-8-1 16:39
-
20250907 修复AVX2搜索算法在32位程序下搜索内存越界的问题
20250614 修改库名称为TyHijack，解决在某些情况下硬件断点失效的问题
20241130 集成微软hook库detours
20241126 增加DLL，更新搜索算法极端情况搜索
硬件断点设置，类型，大小，指定线程和全线程下断
删除硬件断点
特征码搜索 支持堆内存搜索
替换内存中的字符 加强，支持加壳的程序不允许修改内存的情况下进行修改，例子：5a3K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6F1L8Y4y4Q4x3X3g2D9j5h3&6*7L8%4g2W2i4K6u0W2j5$3!0E0i4K6u0r3K9i4q4k6e0@1x3J5y4U0g2D9y4X3A6S2
读取内存中的字符串
十六进制字符串转换为askii字符串
ascii字符串转换为十六进制字符串
十六进制字符串转换为Unicode字符串
Unicode字符串转换为十六进制字符串
单字符串转为宽字符串
宽字符串转为单字符串
HijackTingMix 静态库 vs2022编译
例子：硬件断点、特征码搜索、字符串转特征码搜索
需要下载静态库复制到工程目录下
/************************************************************************函数名称: SetHwBreakpoint函数功能: 设置线程硬件断点输入参数: ThreadId 线程ID，0为所有线程下断，否则指定线程下断 Drx: 参考 enum HWBP_DRX Type: 参考 enum HWBP_TYPE Size: 参考 enum HWBP_SIZE dwAddr 断点位置返 回: 当前断点位置调 用: SetHwBreakpoint(MainThreadId, TYPE_EXECUTE, SIZE_1, bp2);/************************************************************************/ULONGLONG SetHwBreakpoint(ULONGLONG ThreadId, HWBP_DRX Drx, HWBP_TYPE Type, HWBP_SIZE Size, ULONGLONG dwAddr);/************************************************************************函数名称: SetHwBreakpoint函数功能: 设置线程硬件断点输入参数: ThreadId 线程ID，0为所有线程下断，否则指定线程下断 Drx: 参考 enum HWBP_DRX Type: 参考 enum HWBP_TYPE Size: 参考 enum HWBP_SIZE dwAddr 断点位置返 回: 当前断点位置调 用: SetHwBreakpoint(MainThreadId, TYPE_EXECUTE, SIZE_1, bp2);/************************************************************************/ULONGLONG SetHwBreakpoint(ULONGLONG ThreadId, HWBP_DRX Drx, HWBP_TYPE Type, HWBP_SIZE Size, ULONGLONG dwAddr);/************************************************************************函数名称: DelHwBreakpoint函数功能: 删除硬件断点输入参数: context PCONTEXT指针：ExceptionInfo->ContextRecord dwAddr 断点地址：0x123456返 回: 成功返回ture，否则返回false调 用: DelHwBreakpoint(ExceptionInfo->ContextRecord, 0x123456);/************************************************************************/bool DelHwBreakpoint(PCONTEXT context, ULONGLONG dwAddr);/************************************************************************函数名称: DelHwBreakpoint函数功能: 删除硬件断点输入参数: context PCONTEXT指针：ExceptionInfo->ContextRecord dwAddr 断点地址：0x123456返 回: 成功返回ture，否则返回false调 用: DelHwBreakpoint(ExceptionInfo->ContextRecord, 0x123456);/************************************************************************/bool DelHwBreakpoint(PCONTEXT context, ULONGLONG dwAddr);/*************************************************************************************函数名称: PatternFindEx函数功能: 通用特征码搜索 根据CPU自动选择Sunday、SSE2、AVX2进行搜索输入参数: hProcess 进程句柄 HANDLE hProcess = GetCurrentProcess(); module 0或者NULL全进程搜索（支持堆内存），否则搜索模块 HMODULE hModule = GetModuleHandle(L"模块名称"); pattern 搜索特征码，支持通配符??或8?或?8 格式为：std::string pattern = "?5 ?? 77 ?8 ?? AA BB"; searchNum 搜索个数，0为搜索整个模块 deviation 特征码地址离目标地址的偏移距离，上负下正，0不偏移返 回: 找到地址的集合调 用: std::vector<ULONG_PTR> retList = PatternFindEx(hProcess, hModule, pattern, 10, 0);*************************************************************************************/std::vector<ULONG_PTR> PatternFindEx(HANDLE hProcess, HMODULE module, std::string pattern, int searchNum, int deviation);/*************************************************************************************函数名称: PatternFindEx函数功能: 通用特征码搜索 根据CPU自动选择Sunday、SSE2、AVX2进行搜索输入参数: hProcess 进程句柄 HANDLE hProcess = GetCurrentProcess(); module 0或者NULL全进程搜索（支持堆内存），否则搜索模块 HMODULE hModule = GetModuleHandle(L"模块名称"); pattern 搜索特征码，支持通配符??或8?或?8 格式为：std::string pattern = "?5 ?? 77 ?8 ?? AA BB"; searchNum 搜索个数，0为搜索整个模块 deviation 特征码地址离目标地址的偏移距离，上负下正，0不偏移返 回: 找到地址的集合调 用: std::vector<ULONG_PTR> retList = PatternFindEx(hProcess, hModule, pattern, 10, 0);*************************************************************************************/std::vector<ULONG_PTR> PatternFindEx(HANDLE hProcess, HMODULE module, std::string pattern, int searchNum, int deviation);/***********************************************************************函数名称: WriteMemoryData WriteMemoryDataEx支持加壳程序不允许修改内存函数功能: 替换内存中的字符输入参数: memAddress 内存地址 ULONG_PTR memAddress = 0x7C5C; hexData 替换数据 std::string hexData = "55 ?? 77 88 ?? AA BB"; 可用通配符返 回: 替换成功返回首字节(可用于int3断点首字节恢复)，否则返回""调 用: std::string returnStr = "";设置int3断点 returnStr = WriteMemoryData(bp,"CC"); returnStr = WriteMemoryData(memAddress, replaceData); unicode编码的内容用"0000"截断，Ansi编码的内容用"00"截断，replaceData + "0000"***********************************************************************/std::string WriteMemoryData(ULONG_PTR memAddress, std::string hexData);std::string WriteMemoryDataEx(ULONG_PTR memAddress, std::string hexData);/***********************************************************************函数名称: WriteMemoryData WriteMemoryDataEx支持加壳程序不允许修改内存函数功能: 替换内存中的字符输入参数: memAddress 内存地址 ULONG_PTR memAddress = 0x7C5C; hexData 替换数据 std::string hexData = "55 ?? 77 88 ?? AA BB"; 可用通配符返 回: 替换成功返回首字节(可用于int3断点首字节恢复)，否则返回""调 用: std::string returnStr = "";设置int3断点 returnStr = WriteMemoryData(bp,"CC"); returnStr = WriteMemoryData(memAddress, replaceData); unicode编码的内容用"0000"截断，Ansi编码的内容用"00"截断，replaceData + "0000"***********************************************************************/std::string WriteMemoryData(ULONG_PTR memAddress, std::string hexData);std::string WriteMemoryDataEx(ULONG_PTR memAddress, std::string hexData);/***********************************************************************函数名称: ReadMemoryData函数功能: 读取内存中的字符串输入参数: memAddress 内存地址 unicode 编码，默认为unicode,否则其它返 回: 成功返回字符串，否则为""调 用: ULONGLONG memAddress = 0x7C5C; std::string result = ""; result = ReadMemoryData(memAddress); #include <string> #include <windows.h> 32位内存地址计算：*(int*)(breakpoint + 1) 64位内存地址计算：*(int*)(breakpoint + 3) + breakpoint + 7***********************************************************************/std::string ReadMemoryData(size_t memAddress, bool unicode);/***********************************************************************函数名称: ReadMemoryData函数功能: 读取内存中的字符串输入参数: memAddress 内存地址 unicode 编码，默认为unicode,否则其它返 回: 成功返回字符串，否则为""调 用: ULONGLONG memAddress = 0x7C5C; std::string result = ""; result = ReadMemoryData(memAddress); #include <string> #include <windows.h> 32位内存地址计算：*(int*)(breakpoint + 1) 64位内存地址计算：*(int*)(breakpoint + 3) + breakpoint + 7***********************************************************************/std::string ReadMemoryData(size_t memAddress, bool unicode);
最后于 2025-9-7 17:40
被wtujoxk编辑
，原因：
|
|
|---|---|
|
|
|
|
|
|
|
|
下载静态库自己封装后编译成dll供其它编程语言调用，和有没有ASLR的程序无关，不受ASLR影响 |
|
|
谢谢大佬分享
|
|
|
感谢大佬无私分享。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
