c++ - 如何正确地覆盖从注入(inject)的 DLL 加载到内存中的指令？

Question

我正在编写一个动态链接库以注入(inject)到 Windows 上的单人游戏中并用作“电影工具”(覆盖相机变换、时间刻度等):

假设游戏可执行文件在虚拟内存空间中的基地址是 0x140000000 并且在 foo.exe+0x10D64B81 处有一条我想覆盖的指令。指令为mulss xmm1,[rdi+0000027C](F3 0F 59 8F 7C 02 00 00，8字节)，修改后的代码从该地址开始写入/偏移量是 xorps xmm1,xmm1/nop/nop/nop/nop/nop(0F 57 C9 90 90 90 90 90，8 字节)。

我有以下实现(为演示目的而简化):

#include <Windows.h>

using byte = unsigned char;

class FunctionMod
{
public:
    FunctionMod(void* baseAddress, size_t offset, const byte* code, size_t length)
        : m_BaseAddress(baseAddress), m_Offset(offset), m_ModifiedCode(), m_Length(length)
    {
        m_ModifiedCode = new byte[m_Length];
        std::copy(code, &code[m_Length], m_ModifiedCode);
    }

    ~FunctionMod() noexcept
    {
        delete[] m_ModifiedCode;
    }

    void overwrite() const
    {
        for (size_t i = 0; i < m_Length; i++)
            *((byte*)m_BaseAddress + m_Offset + i) = m_ModifiedCode[i];
    }

private:
    void*  m_BaseAddress;
    size_t m_Offset;
    size_t m_Length;
    byte*  m_ModifiedCode;
};

...

DWORD64 functionOffset  = 0x10D64B81;
byte    functionCode[8] = { 0x0F, 0x57, 0xC9, 0x90, 0x90, 0x90, 0x90, 0x90 };

FunctionMod guiMod(
    (void*)GetModuleHandle(NULL),
    functionOffset,
    functionCode,
    sizeof(functionCode)
);

guiMod.overwrite();

这与其他偏移量和指令一起工作得很好，但出于某种原因，这个特定示例始终将 0F **A2** C9 90 ... 写入相应的内存位置，而不是 0F **57** C9 90 ...，转换为 cpuid\leave\nop ... 从而使进程崩溃。

我正在失去理智试图找出我做错了什么。似乎没有一点 0x57 可以以某种方式变成 0xA2。我已经验证内存在类构造函数中被正确复制，将字节打印到控制台而不是将它们写入实际内存也给出了预期的结果，指针算法也检查出来了。唯一一次写入 0xA2 是在我取消引用指针并写入实际内存时。

任何人，有什么想法吗？

编辑:使用 WriteProcessMemory 以管理员身份运行的不同进程覆盖内存正常工作，但我“需要”(工作量会少得多)从 dll 执行此操作。

Answer 1

暂停和恢复线程

感谢@CherryDT指出这一点——在写入内存之前挂起进程的其他线程然后恢复它们成功了。

我要覆盖其指令的函数是计算和修改 HUD 不透明度的函数。事后看来，类似这样的函数似乎很明显会被频繁调用(可能在游戏循环中，因此每帧至少调用一次)，所以我的假设是其中一个游戏线程可能必须当我的线程仍在写入该内存区域时执行函数，因此遇到无效指令并停止执行。

我仍然不知道为什么每次都会出现神奇的 A2 字节，但即使我尝试编写不同的指令或更改它们的顺序(奇怪的是，它正确地写入了我想要的字节)，之后我仍然会崩溃。

因此解决方案:

void FunctionMod::overwrite() const
{
    pauseThreads();

    for (size_t i = 0; i < m_Length; i++)
        *((byte*)m_BaseAddress + m_Offset + i) = m_ModifiedCode[i];
        
    flushInstructionCache(); // in my experience not necessary but better be safe than sorry
    resumeThreads();
}

其中 pauseThreads 和 resumeThreads 首先使用 Toolhelp32 获取线程 ID 列表，如 here 所述(确保排除调用线程的 ID，即 GetCurrentThreadId())然后使用 OpenThread 使用 THREAD_SUSPEND_RESUME 访问标志获取线程句柄，最后使用 SuspendThread 和 ResumeThread 暂停和恢复线程执行。呸!