Manipulation von Prozess-Speicher.

[delphinub23]

Hallo zusammen!

Ich möchte gern aus dem Speicher eines Prozesses bestimmte Adressen vom Typ String finden, welche den Wert "Default" enthalten. Wenn ich diese Adressen habe, würde ich gern deren Inhalt ändern, also z.B. in "NichtMehrDefault".
Bisher bin ich mit ProcessMemory-Manipulation nur wenig in Berührung gekommen und hoffe somit auf Tipps oder Beispiele, wie das richtig gemacht wird

Momentaner Gedankengang:

• OpenProcess

• ReadProcessMemory, aber von wo bis wo und wie durchsuche nach Typ String mit Wert "Default"?

• WriteProcessMemory, Typ String mit Wert "NichtMehrDefault"

• CloseHandle

Ich bedanke mich schon mal im Voraus!

[Neutral General]

Als allererstes: Adressen haben keinen Typ. Was im Speicher steht ist reine Interpretationssache.
Zweitens: Einen String im Speicher eines fremden Prozesses zu verlängern kann bzw. wird wahrscheinlich schief gehen, denn du weißt nicht ob das Byte hinter dem aktuellen String überhaupt verfügbar ist.
Und wenn es verfügbar ist dann besteht die Chance dass du damit andere (wichtige) Daten oder vllt. sogar Maschinencode überschreibst. Hinter dem "Default"-String sind ja nicht nur für dich 10-20 Extra-Bytes reserviert für den Fall dass jmd. den String verlängern will.

Den Wert im Speicher zu finden ist möglich. Aber wenn du absolut keinen Ansatzpunkt hast musst du im Prinzip mehr oder weniger den kompletten virtuellen Adressraum des anderen Prozesses durchsuchen, was sehr aufwendig sein kann und dann dementsprechend lange dauert.

Was hast du überhaupt vor?

[bra]

Zitat von Neutral General:

Was hast du überhaupt vor?

Einen Delphi-Virus schreiben?

[Neutral General]

Zitat von bra:

Zitat von Neutral General:

Was hast du überhaupt vor?

Einen Delphi-Virus schreiben?

Hört sich nicht wirklich nach Virus an. Darum gehts mir auch nicht.
Es geht mir darum ob es nicht eine bessere Alternative gibt. bzw. was er mit dieser Stringmanipulation erreichen will.

[p80286]

Zitat von Neutral General:

Als allererstes: Adressen haben keinen Typ. Was im Speicher steht ist reine Interpretationssache.

Als wir noch clever waren, sind wir auch oft über diese Wahrheit gestolpert. Da gab es mal einen Copyright-Vermerk der war ums Verrecken nicht zu entfernen. Nach dem disassemblieren haben wir ihn dann als Base64-Array gefunden.
Wir hatten die ganze Zeit einen Honeypott im Blick.

Gruß
K-H

[delphinub23]

Zitat von bra:

Zitat von Neutral General:

Was hast du überhaupt vor?

Einen Delphi-Virus schreiben?

...solch ein Gefasel. Eines möchte ich klar stellen: Ich möchte keinen Virus schreiben.

@Neutral General: Erstmal vielen dank für die Informationen. Das habe ich gar nicht bedacht
Es geht um ein Spiel - StarCitizen. Es wird online gespielt, aber die Performance ist aufgrund von schwachen Servern eher mäßig. Auf Reddit wurde eine Lösung präsentiert mit der man das Spiel offline spielen kann - und somit viel bessere FPS erreicht. Das ist sehr förderlich für den Spielspass. Das wird u.a. über Prozess-Manipulation via CheatEngine erreicht. Und nun zur Idee: Anstatt den Umweg händisch zu machen, würde ich es lieber über eine Anwendung laufen lassen. Das soll als Erklärung erst mal reichen.

Da es durch händische Manipulation machbar ist, dürfte es doch auch automatisiert via einer kleinen Anwendung funktionieren, oder?

[Neutral General]

Ist irgendwo dokumentiert was man genau tun muss, bzw. was CheatEngine genau tut?

[delphinub23]

Ja, hier findest du das Tutorial

[Namenloser]

CheatEngine ist doch sogar in Delphi geschrieben. Der Source Code ist auch öffentlich: https://github.com/cheat-engine/cheat-engine

[delphinub23]

Zitat von Namenloser:

CheatEngine ist doch sogar in Delphi geschrieben. Der Source Code ist auch öffentlich: https://github.com/cheat-engine/cheat-engine

Tatsächlich, vielen Dank für den Link. Da muss ich mich erstmal reinlesen.