我想用WriteProcessMemory去修改计算器程序的运作？该怎么办？

Question

用VB编了一个很简单的计算器，比如2+2=4，请问用API的WriteProcessMemory怎么去修改内核，使得2+2=3或者5？？？？？

Answer 1

可以这样吗？

把每次算出来的 都进行 减1，或加上1

Answer 2

在编写不使用图形界面(或使用简单的图形界面)的32 位Windows应用程序时，使用汇编语言会使程序简单、快捷，并且这类程序生成的可执行文件比较小(一般不超过10K)，执行速度快，无需安装即可运行。在Windows环境中，汇编语言的编程方式与C语言类似，要调用Windows API。在汇编语言中调用API函数使用call 指令，并且函数的参数使用Push指令先入堆栈，这步工作在masm32v6中可以由invoke 宏指令自动完成。函数的返回值由eax寄存器返回。

例如MessageBox函数的声明如下：

int MessageBox(HWND h1 , LPCTSTR lp1 , LPCTSTR lp2 , UINT u1 );

则其汇编调用如下：

invoke MessageBox,h1,lp1,lp2,u1

其中参数入栈、检查等工作，由invoke宏指令自动完成。

一个简单的Win 32程序如下：

.386

.model flat, stdcall ;使用32位平坦存储模式

option casemap :none ;区分大小写字母

include \MASM32\INCLUDE\windows.inc

include \MASM32\INCLUDE\kernel32.inc

includelib \MASM32\LIB\kernel32.lib

.code

start:

invoke ExitProcess,0

end start

以上程序与一个DOS下的汇编程序类似，其中语句“invoke ExitProcess,0”相当于DOS下的 int 20H或mov ah,04cH/int 21h，即结束程序并返回。这个框架程序并没有完成什么具体的功能，程序运行后马上返回，并在其运行期间不生成窗口。

实现内存修改器

对上述程序添加语句，就可以使其成为一个真正能用的内存修改器。以修改Windows附件中计算器程序为例，如要修改计算器程序虚拟内存地址40b181H的值为1234H（在运行修改器程序进行修改前，应先运行计算器程序）。

首先为程序添加一个数据段。在 .code 前加上以下语句：

.data

ProcessId dd ? ;进程ID

windowname db “计算器”,0 ;窗口程序名

writeaddr dd 40b181H ;写入的地址

writedate dd 1234H ;写入的数据

然后在start: 后添加以下语句：

invoke FindWindow,NULL,addr windowname

invoke GetWindowThreadProcessId,eax,addr 

ProcessId

invoke OpenProcess,PROCESS_ALL_ACCESS, FALSE, ProcessId

invoke WriteProcessMemory,eax,writeaddr, 

addr writedate, 4, 0

invoke ExitProcess,0

在上述代码中，首先使用 FindWindow 函数取得目标窗口的句柄，其中addr windowname是目标窗口名称（字符串）在内存中的开始地址，字符串以0结束。窗口句柄由eax返回。如果eax=0表示函数出错，其他值表示取得的目标窗口句柄。使用GetWindowThreadProcessId 函数，通过窗口句柄eax取得进程标识符ProcessId。同样，如果函数返回eax=0表示函数出错，其他值表示成功取得ProcessId。利用OpenProcess 函数，从进程标识符ProcessId得到计算器程序的进程句柄。其中PROCESS_ALL_ACCESS表示拥有所有权限，参数FALSE是固定的。同样，句柄由eax返回，如果eax=0表示函数出错，其他值表示取得目标进程句柄。

然后用WriteProcessMemory 函数修改内存，调用方法如下：

invoke WriteProcessMemory,eax,writeaddr, addr writedate, 4, 0

其参数的含义如下：

●eax：从OpenProcess 函数中取得的目标进程的句柄；

●writeaddr ：计算器程序的虚拟内存中将要被修改的地址；

●addr writedate ：将要写入上述地址的数据开始的地址；

●4 ：希望写入addr writedate地址的字节数；

●0 ：函数执行返回后，写入目标地址的实际字节数，能被用来确认函数实际的执行情况，这里用0填入。

该函数返回eax，如果eax=0表示函数出错。

最后调用ExitProcess函数结束程序，返回0值给操作系统。

编辑好上述代码存盘后，用masm32v6中的编译、连接命令生成执行文件。该执行文件可以在Windows 95/98/Me中执行，并完成内存修改。由于Windows NT的内存管理方式与Windows 98等不同，所以在Windows NT中该程序可以执行，但不能修改内存。

编译：

ML /c /coff 文件名.asm

连接：

LINK /SUBSYSTEM:WINDOWS 文件名.obj

内存修改器的改进

上述程序虽然可以执行，但是缺乏交互性和通用性，这可以从以下两个方面进行改进。

1.改进程序执行后无论是否修改了内存或者产生了其他错误，都没有任何提示的问题。要增强交互性，可对每个函数执行后返回的eax值作检查，若eax=0，则产生对话框向用户提示错误，并返回操作系统。

为了能产生出错提示，在数据段增加以下定义：

text1 db “提示！”,0 ;对话框的标题

text2 db “目标程序未运行！“,0

text3 db “不能获得目标进程句柄！”,0

text4 db “不能打开目标进程！”,0

text5 db “未能修改目标内存！”,0

text6 db “命令格式：程序名 窗口名 欲修改地址 新值”,0

使用MessageBox函数弹出对话框，向用户提示出错信息：

invoke FindWindow,NULL,windowname

.if eax==0 

invoke MessageBox,NULL,addr text2,addr text1,MB_OK

invoke ExitProcess,1

.endif

2.改进缺乏通用性的问题。以上修改器程序若要修改另外一个窗口程序的内存，则需对源程序数据段中的windowname、writeaddr、writedate进行修改，重新赋予初值，以适应另一窗口程序，然后重新编译、连接才能实现。如果内存修改器带有参数，就可提高程序的通用性。格式如下：

执行程序名 参数1 参数2 参数3

执行程序名 窗口程序名 要修改的地址 新值

要获得命令行参数，可以在数据段定义一个变量，用来存放命令行参数在虚拟内存中存放的开始地址。在代码段的开始（start:标识符后）插入以下语句获得命令行参数的首址。

invoke GetCommandLine

mov CommandLine, eax

获得命令行参数首址后，对命令行参数进行分析，分离出参数1、参数2、参数3，然后将分离出的参数送到数据段的相应变量中即可。