Golang根据进程句柄和偏移量计算另一个进程内存地址

Question

我需要从具有给定进程名称/ID、指针和偏移量的另一个进程的内存中读取值并将其实时输出给用户，我已经找到了another question并成功实现了从进程内存的给定地址读取和转换浮点值的逻辑，但是由于每次我重新加入游戏时地址都在变化，所以我需要计算它。我使用 Cheat Engine 找到了指针和进程偏移量:

根据我对阅读理论的理解，需要使用以下算法计算最终地址:

1. 使用常量偏移量 (+02518790) 计算基地址 (1DC45993300)
2. 获取此地址并向其添加指针值
3. 对从底部 (5E0) 到顶部 (2E4) 的每个指针值重复 2 步
4. 这是您可以用来检索数据的最终地址

我对第 2、3 和 4 步没问题:我可以 sum hex numbers和 read process memory在地址，但我不知道如何使用偏移量来计算首地址，如何在 Go 中执行此操作？我正在尝试在 Windows 10 上执行此操作

更新:我尝试了来自 this question 的代码但它返回不正确的基地址。我得到 7ff611530000 而 Cheat Engine 中的实际基地址是 1A009A6AB70

更新 2: 可能很难理解我要做什么，所以我添加了另一张图片。我需要找到如何进行这个“加”操作以及如何在红色方 block 中找到地址(绿色可以计算，紫色是常量)

Answer 1

为了找到另一个进程的地址和读取值，您必须根据进程的偏移量和基地址来计算它。 Cheat Engine 在指针编辑器中显示读取地址值操作为 [hex + hex] -> address。因此，每次您看到 [address + offset] -> next address 时，这意味着将地址和偏移量相加为十六进制 (16) 并读取进程内存中该地址的值。检索到的值是下一个地址，您应该使用它来获取下一个地址。重复此操作直到到达最后一个偏移量，然后只需将地址和偏移量相加而不读取值。结果地址是存储值的位置。

如何找到基地址？虽然它在 Cheat Engine 中似乎是常量(如果你输入 0 而不是 02518790，每次重启进程时你都会得到相同的地址)，它只是一个虚拟地址，不要使用它。相反，使用 winapi 使用 EnumProcessModules 遍历指定进程的所有模块。您可以通过按窗口标题在正在运行的应用程序中搜索来查找 PID。将模块的文件名与 GetModuleFilenameExW 进行比较。当您找到具有固定文件名的模块(在您的情况下为“UE4Game-Win64-Shipping.exe”)时，使用 GetModuleInformation 检索 LpBaseOfDll。不是 EntryPoint，它不是基地址。

现在您有了 LpBaseOfDll，向其添加常量偏移量 (02518790) 并在结果地址处读取值。这是您应该用来运行循环和添加偏移量的起始地址。所以图像上标记的“加操作”是 LpBaseOfDll 和偏移量的总和。事实上， Cheat Engine 只接受没有偏移量的可执行文件名，尝试将“kernel32.dll”放入地址字段:)

要与虚拟内存交互，必须使用windows原生api(kernel32.dll)。与任何其他语言一样，Go 有一个 winapi 的包装器。您可以在经典硬编码“golang.org/x/sys/windows”、现代和实验性“github.com/Andoryuuta/kiwi”之间进行选择，但我建议您使用“github.com/0xrawsec/golang-win32/win32”/内核32”。

下面的代码演示了如何获取基址。我发布了GitHub gist包含完整代码，可以按名称查找进程 ID 并读取 float32 值。

package main

import (
    "fmt"
    "path/filepath"

    "github.com/0xrawsec/golang-win32/win32"
    kernel32 "github.com/0xrawsec/golang-win32/win32/kernel32"
    windows "golang.org/x/sys/windows"
)

func memoryReadInit(pid uint32) (int64, bool) {
    win32handle, _ := kernel32.OpenProcess(0x0010 | windows.PROCESS_VM_READ | windows.PROCESS_QUERY_INFORMATION, win32.BOOL(0), win32.DWORD(pid))
    moduleHandles, _ := kernel32.EnumProcessModules(win32handle)
    for _, moduleHandle := range moduleHandles {
        s, _ := kernel32.GetModuleFilenameExW(win32handle, moduleHandle)
        targetModuleFilename := "UE4Game-Win64-Shipping.exe"
        if(filepath.Base(s) == targetModuleFilename) {
            info, _ := kernel32.GetModuleInformation(win32handle, moduleHandle)
            return int64(info.LpBaseOfDll), true
        }
    }
    return 0, false
}

func main() {
    var pid uint32 = 0x38E4 // put PID here, you can find it in Cheat Engine process list
    baseAddress, _ := memoryReadInit(pid)
    fmt.Println("Base address is", baseAddress)
}