Golang根据进程句柄和偏移量计算另一个进程内存地址

Question

我需要从具有给定进程名称/ID、指针和偏移量的另一个进程的内存中读取值并将其实时输出给用户，我已经发现了另一个问题并成功实现了从进程内存的给定地址读取和转换浮点值的逻辑, 但由于每次我重新加入游戏时地址都在变化，所以我需要计算它。我使用作弊引擎找到了指针和进程偏移量：根据我对阅读理论的理解，需要使用以下算法计算最终地址：使用常量偏移量 (+02518790) 计算基地址 (1DC45993300)获取此地址并向其添加指针值对从底部 (5E0) 到顶部 (2E4) 的每个指针值重复 2 步这是您可以用来检索数据的最终地址我对第 2、3 和 4 步没有问题：我可以对十六进制数求和并在地址处读取进程内存，但我不知道如何使用偏移量来计算首地址，如何在 Go 中执行此操作？我正在尝试在 Windows 10 上执行此操作更新：我尝试了这个问题的代码，但它返回了不正确的基地址。我得到 7ff611530000 而作弊引擎中的实际基地址是 1A009A6AB70更新 2：可能很难理解我要做什么，所以我添加了另一张图片。我需要找到如何进行这个“加”操作以及如何在红色方块中找到地址（绿色可以计算，紫色是常量）

Answer 1

为了找到另一个进程的地址和读取值，您必须根据进程的偏移量和基地址来计算它。作弊引擎在指针编辑器中显示读取地址值操作为 [hex + hex] -> address。因此，每次您看到 [address + offset] -> next address 时，这意味着将地址和偏移量相加为十六进制 (16) 并读取进程内存中该地址的值。检索到的值是下一个地址，您应该使用它来获取下一个地址。重复此操作直到到达最后一个偏移量，然后只需将地址和偏移量相加而不读取值。结果地址是存储值的位置。

如何找到基地址？虽然它在 Cheat Engine 中似乎是常量（如果你输入 0 而不是 02518790，每次重启进程时你都会得到相同的地址），它只是一个虚拟地址，不要使用它。相反，使用 winapi 使用 EnumProcessModules 遍历指定进程的所有模块。您可以通过按窗口标题在正在运行的应用程序中搜索来查找 PID。将模块的文件名与 GetModuleFilenameExW 进行比较。当您找到具有固定文件名的模块（在您的情况下为“UE4Game-Win64-Shipping.exe”）时，使用 GetModuleInformation 检索 LpBaseOfDll。不是 EntryPoint，它不是基地址。

现在您有了 LpBaseOfDll，向其添加常量偏移量 (02518790) 并在结果地址处读取值。这是您应该用来运行循环和添加偏移量的起始地址。所以图像上标记的“加操作”是 LpBaseOfDll 和偏移量的总和。事实上，Cheat Engine 只接受没有偏移量的可执行文件名称，尝试将“kernel32.dll”放入地址字段:)

要与虚拟内存交互，您必须使用 windows 原生 api (kernel32.dll)。与任何其他语言一样，Go 有一个 winapi 的包装器。您可以在经典硬编码“golang.org/x/sys/windows”、现代和实验性“github.com/Andoryuuta/kiwi”之间进行选择，但我建议您使用“github.com/0xrawsec/golang-win32/win32” /内核32”。

下面的代码演示了如何获取基地址。我发布了带有完整代码的GitHub gist，可以按名称查找进程 ID 并读取 float32 值。

package main

import (

    "fmt"

    "path/filepath"

    "github.com/0xrawsec/golang-win32/win32"

    kernel32 "github.com/0xrawsec/golang-win32/win32/kernel32"

    windows "golang.org/x/sys/windows"

)

func memoryReadInit(pid uint32) (int64, bool) {

    win32handle, _ := kernel32.OpenProcess(0x0010 | windows.PROCESS_VM_READ | windows.PROCESS_QUERY_INFORMATION, win32.BOOL(0), win32.DWORD(pid))

    moduleHandles, _ := kernel32.EnumProcessModules(win32handle)

    for _, moduleHandle := range moduleHandles {

        s, _ := kernel32.GetModuleFilenameExW(win32handle, moduleHandle)

        targetModuleFilename := "UE4Game-Win64-Shipping.exe"

        if(filepath.Base(s) == targetModuleFilename) {

            info, _ := kernel32.GetModuleInformation(win32handle, moduleHandle)

            return int64(info.LpBaseOfDll), true

        }

    }

    return 0, false

}

func main() {

    var pid uint32 = 0x38E4 // put PID here, you can find it in Cheat Engine process list

    baseAddress, _ := memoryReadInit(pid)

    fmt.Println("Base address is", baseAddress)

}