Simples Gamehacking via Memoryediting

Vorwort:

In diesem Tutorial wird erklärt, wie mit VB.Net auf den Arbeitsspeicher eines (Spiele-)Prozesses zugegriffen und dieser modifiziert werden kann.
Dabei werde ich keinen kompletten Sourcecode zur Verfügung stellen, da ich möchte, dass hier was gelernt wird. Kopieren kann schon jeder, dafür muss ich mir für das Tutorial keine Mühe geben.

Basics:

Microsoft stellt elementare Systemfunktionen bereit, die es einem ermöglichen, auf den Arbeitsspeicher des (Spiele-)Prozesses zuzugreifen. Diese Funktionen werden dazu verwendet:

PHP Code:

OpenProcess(ByVal DesiredAccess As Integer, ByVal InheritHandle As Boolean, ByVal ProcessId As Integer) As IntPtr
CloseHandle(ByVal ProcessHandle As IntPtr) As Boolean
ReadProcessMemory(ByVal ProcessHandle As IntPtr, ByVal Address As IntPtr, ByVal Buffer As Byte(), ByVal Size As Integer, ByRef NumberOfBytesRead As Integer) As Boolean
WriteProcessMemory(ByVal ProcessHandle As IntPtr, ByVal Address As IntPtr, ByRef Buffer As Byte(), ByVal Size As Integer, ByRef NumberOfBytesWritten As Integer) As Boolean 


Um überhaupt Zugriff auf den (Spiele-)Prozess zu bekommen muss mit OpenProcess() ein Handle erstellt werden, wobei die [Only registered and activated users can see links. Click Here To Register...] festgelegt werden können. Wir verwenden der Einfachheit halber PROCESS_ALL_ACCESS (&H1F0FFF), das ist zwar nicht sauber, aber am einfachsten.
Schlussendlich sollten wir der Sauberkeit halber das Handle noch mit CloseHandle() schließen, sobald es nicht mehr verwendet wird.

Nun müssen diese Methoden in VB.Net manuell eingebettet werden.

Einbettung der Nativen Funktionen:

Wir erstellen nun eine neue Klasse mit dem "Public" Modifizierer und dem Namen "NativeMethods" und importieren in dieser Klasse die Klasse "System.Runtime.InteropServices".

In VB.Net können native Windows-Funktionen mit folgender Syntax angelegt werden:

Code:

<DllImport("DLL-Name", Optionen)> _
[Modifizierer] Function/Sub FunktionsName(Parameter) Rückgabewert
End Function/Sub

In unserem Falle sähe das so aus:

PHP Code:

<DllImport("kernel32.dll", SetLastError:=True)> _
Private Shared Function OpenProcess(ByVal DesiredAccess As Integer, ByVal InheritHandle As Boolean, ByVal ProcessID As Integer) As IntPtr
End Function
<DllImport("kernel32.dll", SetLastError:=True)> _
Private Shared Function CloseHandle(ByVal Handle As IntPtr) As Boolean
End Function
<DllImport("kernel32.dll", SetLastError:=True)> _
Private Shared Function ReadProcessMemory(ByVal ProcessHandle As IntPtr, ByVal Address As IntPtr, ByRef Buffer As Byte(), ByVal Size As Integer, ByRef NumberOfBytesRead As Integer) As Boolean
End Function
<DllImport("kernel32.dll", SetLastError:=True)> _
Private Shared Function WriteProcessMemory(ByVal ProcessHandle As IntPtr, ByVal Address As IntPtr, ByVal Buffer As Byte(), ByVal Size As Integer, ByRef NumberOfBytesWritten As Integer) As Boolean
End Function 


Zu bemerken ist hier, dass ich die Modifizierer "Private" und "Shared" benutzt habe, das liegt daran, dass ich zum möchte, dass die Funktion nicht direkt, sondern im späteren Sourcecode von einer selbst geschriebenen Funktion aufgerufen werden können, die die Handhabung damit vereinfacht; mehr dazu später.

Implementierung der API-Erleichterung:

Für die nativen Methoden werden als nächstes die Erleichterungs-Funktionen programmiert.
Die OpenProcess()-Methode wird am Ende einzig und allein mit der ProcessId aufgerufen werden, da sich die beiden anderen Paramter für uns nicht verändern, die CloseHandle()-Funktion sogar ganz ohne Parameter.
Für die Read- und WriteProcessMemory()-Methoden werden wir mehrere Erleichterungs-Funktionen implementieren, die es uns ermöglichen mit verschiedenen Variablentypen zu arbeiten.

Zuerst legen wir uns in der Klasse NativeMethods eine IntPtr Variable namens "ProcessHandle" an, welche die Modifizierer "Private" und "Shared" hat und definieren diese als IntPtr.Zero.

OpenProcess:

Wir legen in der Klasse NativeMethods eine neue Funktion mit den Modifizierern "Friend" und "Shared", welche ebenfalls "OpenProcess()" heißt ("Überladen einer Funktion") und ein Boolean als Rückgabewert hat, an. Der einzige Parameter der Funktion ist ein Integer-Wert, den wir "PID" nennen.
Der Körper der Funktion besteht aus folgenden Zeilen:

PHP Code:

NativeMethods.ProcessHandle = NativeMethods.OpenProcess(&H1F0FFF, False, PID)
Return IIf(NativeMethods.ProcessHandle = IntPtr.Zero, False, True) 


Somit können wir nun immer NativeMethods.OpenProcess(PID) aufrufen, ohne die beiden für uns unwichtigen Parameter immer setzen und uns um das Handle kümmern zu müssen.

CloseHandle:

Diese wird so wie die OpenProcess()-Methode implementiert, nur komplett parameterlos.
Der Körper sieht wie folgt aus:

PHP Code:

If NativeMethods.ProcessHandle = IntPtr.Zero Then Return False
Return NativeMethods.CloseHandle(NativeMethods.ProcessHandle) 


ReadProcessMemory:

Hier gebe ich einfach mal meinen Code zum kopieren, damit lassen sich dann ganz einfach jegliche Variablentypen auslesen. Es wird einfach nur ReadProcessMemory() aufgerufen und der Variablentyp in den gewünschten konvertiert.

 Spoiler

PHP Code:

Friend Shared Function ReadArray(ByVal Address As IntPtr, ByRef Buffer As Byte(), ByVal Size As Integer) As Boolean ' CE: Array of Bytes '
    If ProcessHandle = IntPtr.Zero Then Return False
    Return NativeMethods.ReadProcessMemory(ProcessHandle, Address, Buffer, Size, 0)
End Function
Friend Shared Function ReadByte(ByVal Address As IntPtr, ByRef Buffer As Byte) As Boolean ' CE: 1 Byte '
    If ProcessHandle = IntPtr.Zero Then Return False
    Dim tBuffer As Byte() = {0}
    Dim ret As Boolean = NativeMethods.ReadProcessMemory(ProcessHandle, Address, tBuffer, 1, 0)
    If ret = True Then Buffer = tBuffer(0)
    Return ret
End Function
Friend Shared Function ReadShort(ByVal Address As IntPtr, ByRef Buffer As Short) As Boolean ' CE: 2 Bytes '
    If ProcessHandle = IntPtr.Zero Then Return False
    Dim tBuffer As Byte() = {0, 0}
    Dim ret As Boolean = NativeMethods.ReadProcessMemory(ProcessHandle, Address, tBuffer, 2, 0)
    If ret = True Then Buffer = BitConverter.ToInt16(tBuffer, 0)
    Return ret
End Function
Friend Shared Function ReadInteger(ByVal Address As IntPtr, ByRef Buffer As Integer) As Boolean ' CE: 4 Bytes '
    If ProcessHandle = IntPtr.Zero Then Return False
    Dim tBuffer As Byte() = {0, 0, 0, 0}
    Dim ret As Boolean = NativeMethods.ReadProcessMemory(ProcessHandle, Address, tBuffer, 4, 0)
    If ret = True Then Buffer = BitConverter.ToInt32(tBuffer, 0)
    Return ret
End Function
Friend Shared Function ReadLong(ByVal Address As IntPtr, ByRef Buffer As Long) As Boolean ' CE: 8 Bytes '
    If ProcessHandle = IntPtr.Zero Then Return False
    Dim tBuffer As Byte() = {0, 0, 0, 0, 0, 0, 0, 0}
    Dim ret As Boolean = NativeMethods.ReadProcessMemory(ProcessHandle, Address, tBuffer, 8, 0)
    If ret = True Then Buffer = BitConverter.ToInt64(tBuffer, 0)
    Return ret
End Function
Friend Shared Function ReadSingle(ByVal Address As IntPtr, ByRef Buffer As Single) As Boolean ' CE: Float '
    If ProcessHandle = IntPtr.Zero Then Return False
    Dim tBuffer As Byte() = {0, 0, 0, 0}
    Dim ret As Boolean = NativeMethods.ReadProcessMemory(ProcessHandle, Address, tBuffer, 8, 0)
    If ret = True Then Buffer = BitConverter.ToSingle(tBuffer, 0)
    Return ret
End Function
Friend Shared Function ReadDouble(ByVal Address As IntPtr, ByRef Buffer As Double) As Boolean ' CE: Double '
    If ProcessHandle = IntPtr.Zero Then Return False
    Dim tBuffer As Byte() = {0, 0, 0, 0, 0, 0, 0, 0}
    Dim ret As Boolean = NativeMethods.ReadProcessMemory(ProcessHandle, Address, tBuffer, 8, 0)
    If ret = True Then Buffer = BitConverter.ToDouble(tBuffer, 0)
    Return ret
End Function
Friend Shared Function ReadString(ByVal Address As IntPtr, ByRef Buffer As String, ByVal Length As Integer) As Boolean ' String mit bekannter Länge, schnell '
    If ProcessHandle = IntPtr.Zero Then Return False
    Dim tBuffer As Byte() = {}
    Dim ret As Boolean = NativeMethods.ReadProcessMemory(ProcessHandle, Address, tBuffer, Length, 0)
    If ret = True Then Buffer = BitConverter.ToString(tBuffer, 0)
    Return ret
End Function
Friend Shared Function ReadString(ByVal Address As IntPtr, ByRef Buffer As String) As Boolean ' String mit unbekannter Länge, braucht länger '
    If ProcessHandle = IntPtr.Zero Then Return False
    Dim tBuffer As Byte() = {}
    Dim ret As Boolean = False
    Do
        ret = NativeMethods.ReadProcessMemory(ProcessHandle, Address, tBuffer, 1, 0)
        If ret = True Then If tBuffer(0) <> 0 Then Buffer &= BitConverter.ToString(tBuffer, 0)
    Loop While tBuffer(0) <> 0
    Return ret
End Function 


WriteProcessMemory:

Das selbe für WriteProcessMemory:

 Spoiler

PHP Code:

Friend Shared Sub WriteArray(ByVal Address As IntPtr, ByVal Buffer As Byte()) ' CE: Array of Bytes '
    If ProcessHandle = IntPtr.Zero Then Exit Sub
    WriteProcessMemory(ProcessHandle, Address, Buffer, Buffer.Length, 0)
End Sub
Friend Shared Sub WriteByte(ByVal Address As IntPtr, ByVal Buffer As Byte) ' CE: 1 Byte '
    If ProcessHandle = IntPtr.Zero Then Exit Sub
    Dim tBuffer As Byte() = BitConverter.GetBytes(Buffer)
    WriteProcessMemory(ProcessHandle, Address, tBuffer, 1, 0)
End Sub
Friend Shared Sub WriteShort(ByVal Address As IntPtr, ByVal Buffer As Short) ' CE: 2 Bytes '
    If ProcessHandle = IntPtr.Zero Then Exit Sub
    Dim tBuffer As Byte() = BitConverter.GetBytes(Buffer)
    WriteProcessMemory(ProcessHandle, Address, tBuffer, 2, 0)
End Sub
Friend Shared Sub WriteInteger(ByVal Address As IntPtr, ByVal Buffer As Integer) ' CE: 4 Bytes '
    If ProcessHandle = IntPtr.Zero Then Exit Sub
    Dim tBuffer As Byte() = BitConverter.GetBytes(Buffer)
    WriteProcessMemory(ProcessHandle, Address, tBuffer, 4, 0)
End Sub
Friend Shared Sub WriteLong(ByVal Address As IntPtr, ByVal Buffer As Long) ' CE: 8 Bytes '
    If ProcessHandle = IntPtr.Zero Then Exit Sub
    Dim tBuffer As Byte() = BitConverter.GetBytes(Buffer)
    WriteProcessMemory(ProcessHandle, Address, tBuffer, 8, 0)
End Sub
Friend Shared Sub WriteSingle(ByVal Address As IntPtr, ByVal Buffer As Single) ' CE: Float '
    If ProcessHandle = IntPtr.Zero Then Exit Sub
    Dim tBuffer As Byte() = BitConverter.GetBytes(Buffer)
    WriteProcessMemory(ProcessHandle, Address, tBuffer, 4, 0)
End Sub
Friend Shared Sub WriteDouble(ByVal Address As IntPtr, ByVal Buffer As Double) ' CE: Double '
    If ProcessHandle = IntPtr.Zero Then Exit Sub
    Dim tBuffer As Byte() = BitConverter.GetBytes(Buffer)
    WriteProcessMemory(ProcessHandle, Address, tBuffer, 8, 0)
End Sub
Friend Shared Sub WriteString(ByVal Address As IntPtr, ByVal Buffer As String) ' CE: String '
    If ProcessHandle = IntPtr.Zero Then Exit Sub
    Dim tBuffer As Byte() = System.Text.Encoding.ASCII.GetBytes(Buffer)
    WriteProcessMemory(ProcessHandle, Address, tBuffer, Buffer.Length, 0)
End Sub
Friend Shared Sub WriteUnicodeString(ByVal Address As IntPtr, ByVal Buffer As String) ' CE: Unicode String '
    If ProcessHandle = IntPtr.Zero Then Exit Sub
    Dim tBuffer As Byte() = System.Text.Encoding.Unicode.GetBytes(Buffer)
    WriteProcessMemory(ProcessHandle, Address, tBuffer, Buffer.Length * 2, 0)
End Sub 


Unsere Klasse "NativeMethods" ist somit fertig und sollte etwa so aussehen: ([Only registered and activated users can see links. Click Here To Register...])

Anwendung:

OpenProcess:

PHP Code:

If NativeMethods.OpenProcess(Process.GetProcessesByName("GameClient")(0).Id) = True Then ' .exe weglassen, falls der (Spiele-)Prozess auf .exe endet. '
    MessageBox.Show("Attached to process!", "Success", MessageBoxButtons.OK, MessageBoxIcon.Information)
Else
    MessageBox.Show("Failed attaching to process!" & vbNewLine & "Errorcode: 0x" & Err.GetException.ToString("X8"), "Error", MessageBoxButtons.OK, MessageBoxIcon.Error)
End If 


CloseHandle:

PHP Code:

NativeMethods.CloseHandle() 


Read Float Value:

PHP Code:

Dim MyFloat As Single = 0
NativeMethods.ReadSingle(&H401234, MyFloat) 


Read Byte from pointer:

PHP Code:

Dim MyByte As Byte = 0
Dim PointerValue As Integer = 0
NativeMethods.ReadInteger(&H401234, PointerValue)
If PointerValue > 0 Then NativeMethods.ReadByte(PointerValue, MyByte) 


Read Float from pointer with offset (example: 0x1234):

PHP Code:

Dim MyFloat As Single = 0
Dim PointerValue As Integer = 0
NativeMethods.ReadInteger(&H401234, PointerValue)
If PointerValue > 0 Then NativeMethods.ReadInteger(PointerValue + &H1234, PointerValue)
If PointerValue > 0 Then NativeMethods.ReadSingle(PointerValue, MyFloat) 


Am besten überarbeitest du nochmal das tutorial weil du hast ja nichtmal den code erklärt oder kommentiert sondern einfach nur geschrieben was wo hingeschrieben werden soll.

Okay mach ich, ich hatte nur gestern kaum noch Zeit, weil dann bald mein Internet ausgegangen ist ;)

#habs ein wenig überarbeitet, hoffe es ist jetzt ersichtlicher .. :/

wo soll ich das next hinschreiben ? da kommt For Each ....... und dann erwartet der ein next :mad:

pList = System.Diagnostics.Process.GetProcesses
For Each proc As System.Diagnostics.Process In pList
If proc.ProcessName = ExeName Then
Prozess1 = proc
LabelActive.ForeColor = Color.Green
LabelActive.Text = "Game found!"
TextBoxLives.Text = ReadLong(Prozess1, "&H *EureAdresseOhneDieErsteNullAmAnfang*") 'Lebenszahl
Exit Sub
End If
LabelActive.ForeColor = Color.Red
LabelActive.Text = "Game not found!"
TextBoxLives.Text = Nothing
next

Die Grundkenntnisse sollten schon vorhanden sein...

Hab da mal eine Frage, im 3. Code:

Muss man das, was ich jetzt rotmarkiert habe, stehen lassen, oder in das ändern, was man davor in CheatEngine herausbekommen hat?

Gibt es jemanden bei dem das Funktioniert, irgenwie kommt es mir so vor als wenn die hälfte des Codes der im Modul steht garnicht notwendig ist.????
Gruss Wild-Life78

mhm habs mla gerade getestet.

Hab es aber nicht zum Laufen bekommen.
Wie zur Hölle bekomme ich die Adresse "0BF38FB4" als Intreger hin?

EDIT: Geschafft kann man ganz einfach online konvertiern. [Only registered and activated users can see links. Click Here To Register...]
Funktioniert also

Ja bei funzt es jetzt auch, allerdings nur auf den Rechner mit Xp, auf Vista64 Bit gibt ReadProcessMemory immer 0 zurück und das obwohl die Pointer/BasePointer richtig sind.
Hat jemand unter 64 Bit ebenfalls Probleme mir ReadProcessMemory ????

Lg Wild

Ps ansonsten gutes Tut obwohl ich am Anfang etwas skeptisch war.

Quote:

Originally Posted by cheater94x mhm habs mla gerade getestet. Hab es aber nicht zum Laufen bekommen. Wie zur Hölle bekomme ich die Adresse "0BF38FB4" als Intreger hin? EDIT: Geschafft kann man ganz einfach online konvertiern. [Only registered and activated users can see links. Click Here To Register...] Funktioniert also

Du brauchst nicht konvertieren mache aus "0BF38FB4" ein "&H0BF38FB4" und schon gehts das "&H" steht für hexadezimal Visualbasic weiß dann schon was gemeint ist.

Lg Wild....

Au da bin ich auf einem schlauch gestanden.

Aber das tut ist ausbauwürdig. Das sollte man an einem programm wie solitär erklären.

LOL genau da bin ich gerade Dabei, allerdings Macht mir mein 64Bit system zu schaffen, denn dort funktioniert der ReadProcessMemory nicht, er gibt mir als Wert immer 0 zurück.
Und unter Xp 32 Bit geht es ohne Probleme.

Lg Wild-Life78

Das Tutorial ist einfach Sche*sse!
Garnichts funktioniert und nur Errors...!
Der Name "pList" wurde nicht deklariert.
Die Writememory-Funktion gibt nicht für alle Codepfade einen Wert zurück. Wenn das Ergebnis verwendet wird, kann zur Laufzeit eine Nullverweisausnahme auftreten.
UND UND UND!
Garnichts funktioniert -.-

Quote:

Originally Posted by bozzh22 Das Tutorial ist einfach Sche*sse! Garnichts funktioniert und nur Errors...! Der Name "pList" wurde nicht deklariert. Die Writememory-Funktion gibt nicht für alle Codepfade einen Wert zurück. Wenn das Ergebnis verwendet wird, kann zur Laufzeit eine Nullverweisausnahme auftreten. UND UND UND! Garnichts funktioniert -.-

Deine Mama gibt auch nichts zurück. Was sie einmal geklaut hat, behält sie für immer
Deine Mama hat mit deinem Vadder auch nicht funktioniert

Das Ergebnis warst letztendlich du

_
Mal ernsthaft. Das geht auch anständig, oder?
Bei mir klappt alles, vielleicht liegts daran, dass du Win7 benutzt, auf meinem XP Rechner funktioniert alles bestens.

Und wenn, mach doch ein besseres, anstatt nur zu nörgeln

Hallo,

Ich habe folgenede frage wie kann ich eine text value auslesen ???

ich hab schon folgendes versucht:


aber das hat leider nicht geklappt könntest mir bitte einer helfen

Mfg Bruno1212