登录  | 立即注册

游客您好!登录后享受更多精彩

查看: 178|回复: 6

简单的内存特征码暴力搜索支持 ?? F? ?F

[复制链接]

78

主题

-6

回帖

71

积分

网站编辑

积分
71
发表于 2025-2-16 22:51:54 | 显示全部楼层 |阅读模式
①通过掩码的方式使其支持 前、中、后通配符 及半字节;
②通过SSE2指令集找到特征码字节序列中的第一个不为'??'的元素后,后续的字节只比较不是'??'的特征字节,优化比较字节数。
#include <iostream>
#include <windows.h>
 
int main()
{
    //模拟内存中的字节数据
    BYTE MemByte[] = { 0x33, 0xC9, 0x89, 0x0D, 0xB4, 0x67, 0x92, 0x77, 0x89, 0x0D, 0xB8, 0x67, 0x92, 0x77, 0x88, 0x08, 0x38, 0x48, 0x02, 0x74, 0x05, 0xE8, 0x94, 0xFF, 0xFF, 0xFF, 0x33, 0xC0, 0xC3, 0x8B, 0xFF, 0x55, 0x8B, 0xEC, 0x83, 0xE4, 0xF8 };
 
    //特征码为:?9 ?? 0? ?? 67
    //会处理成:F9 FF 0F FF 67 进行匹配
    std::string pattern = "?9 ?? 0? ?? 67";
    int index = 0;
    while ((index = pattern.find(' ', index)) >= 0) pattern.erase(index, 1); //去除特征码所有空格
    size_t len = pattern.length() / 2; //计算特征码长度
    size_t nFirstMatch = len;  // 跳过头部??,记录第一次匹配的位置半字符或非??,用于优化搜索
    BYTE* pMarkCode = new BYTE[len];  // 存储转换后的特征码字节
    BYTE* pWildcard = new BYTE[len];  // 存储特征字符串中??、?(??=FF、?=F、非?=0) 通配符
 
    //处理特征码字符串,转换成字节数组
    for (size_t i = 0; i < len; i++)
    {
        std::string tmpStr = pattern.substr(i * 2, 2);
        if ("??" == tmpStr) // 是"??"的特征字符
        {
            tmpStr = "FF";
            pWildcard[i] = 0xFF;
        }
        else  // 不是"??"的特征字符
        {
            if ('?' == tmpStr[0]) // 左半字节为'?'
            {
                tmpStr[0] = 'F';
                pWildcard[i] = (0xF << 4);
            }
            else if ('?' == tmpStr[1]) // 右半字节为'?'
            {
                tmpStr[1] = 'F';
                pWildcard[i] = 0xF;
            }
            else
            {
                pWildcard[i] = 0x0;
            }
            if (nFirstMatch == len) nFirstMatch = i;
        }
 
        pMarkCode[i] = strtoul(tmpStr.c_str(), nullptr, 16);
    }
 
    //搜索内存,匹配特征码算法
    for (size_t m = 0; m < sizeof(MemByte); ++m)
    {
        if (!((MemByte[m] | pWildcard[nFirstMatch]) ^ pMarkCode[nFirstMatch])) //匹配上第一个字节
        {
            size_t offset = m - nFirstMatch; //记录偏移量
            for (size_t n = nFirstMatch; n < len; ++n) //匹配后续字节
            {
                if (offset > sizeof(MemByte) - len) break; //超出内存范围
                if (pWildcard[n] != 0xFF)  //后续字节是"??"的通配符,跳过,这句代码可以优化搜索
                    if ((MemByte[offset + n] | pWildcard[n]) ^ pMarkCode[n]) break; //匹配失败
                if (n + 1 == len) //匹配成功
                {
                    printf("%Ix\n", MemByte[m - nFirstMatch]);
                }
            }
        }
    }
    system("pause");
    return 0;
}

0

主题

189

回帖

145

积分

注册会员

积分
145
发表于 2025-2-17 10:48:36 | 显示全部楼层
学习一下,谢谢!!
回复

使用道具 举报

0

主题

7

回帖

14

积分

新手上路

积分
14
发表于 2025-3-18 23:41:03 | 显示全部楼层
学习一下,谢谢!!
回复

使用道具 举报

0

主题

65

回帖

204

积分

注册会员

积分
204
发表于 2025-3-21 09:06:19 | 显示全部楼层
很实用, 学习一下.
回复

使用道具 举报

0

主题

2

回帖

5

积分

新手上路

积分
5
发表于 2025-3-26 09:02:36 | 显示全部楼层
学习一下,谢谢!!
回复

使用道具 举报

0

主题

41

回帖

117

积分

注册会员

积分
117
发表于 2025-3-27 11:17:50 | 显示全部楼层
看帖看完了至少要顶一下,还可以加入到淘帖哦!
回复

使用道具 举报

0

主题

41

回帖

117

积分

注册会员

积分
117
发表于 7 天前 | 显示全部楼层
不管你信不信,反正我是信了。
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

QQ|Archiver|手机版|小黑屋|断点社区 |网站地图

GMT+8, 2025-4-4 13:22 , Processed in 0.113316 second(s), 24 queries , Yac On.

Powered by XiunoBBS

Copyright © 2001-2025, 断点社区.

快速回复 返回顶部 返回列表