Windows驱动开发：内核特征码搜索函数封装

ytn2001

本章内容中将重点分析，并实现一个通用特征定位函数。

如下是一段特征码搜索片段，可以看到其实仅仅只是将上章中的搜索方式变成了一个SearchSpecialCode函数，如下函数，用户传入一个扫描起始地址以及搜索特征码的字节数组，即可完成搜索工作，具体的参数定义如下。

pSearchBeginAddr 扫描的内存(内核)起始地址
ulSearchLength 需要扫描的长度
pSpecialCode 扫描特征码,传入一个UCHAR类型的字节数组
ulSpecialCodeLength 特征码长度,传入字节数组长度

1. // By: LyShark
   
2. PVOID SearchSpecialCode(PVOID pSearchBeginAddr, ULONG ulSearchLength, PUCHAR pSpecialCode, ULONG ulSpecialCodeLength)
   
3. {
   
4.   PVOID pDestAddr = NULL;
   
5.   PUCHAR pBeginAddr = (PUCHAR)pSearchBeginAddr;
   
6.   PUCHAR pEndAddr = pBeginAddr + ulSearchLength;
   
7.   PUCHAR i = NULL;
   
8.   ULONG j = 0;
   
9. 
   
10.   for (i = pBeginAddr; i <= pEndAddr; i++)
    
11.   {
    
12.     // 遍历特征码
    
13.     for (j = 0; j < ulSpecialCodeLength; j++)
    
14.     {
    
15.       // 判断地址是否有效
    
16.       if (FALSE == MmIsAddressValid((PVOID)(i + j)))
    
17.       {
    
18.         break;
    
19.       }
    
20.       // 匹配特征码
    
21.       if (*(PUCHAR)(i + j) != pSpecialCode[j])
    
22.       {
    
23.         break;
    
24.       }
    
25.     }
    
26. 
    
27.     // 匹配成功
    
28.     if (j >= ulSpecialCodeLength)
    
29.     {
    
30.       pDestAddr = (PVOID)i;
    
31.       break;
    
32.     }
    
33.   }
    
34.   return pDestAddr;
    
35. }
    

复制代码

游客，如果您要查看本帖隐藏内容请回复