Статья ниже посвящена теоретическим аспектам работы с памятью приложений в контексте легального реверс-инжиниринга, разработки античит-систем и отладки программного обеспечения. Информация предоставлена исключительно в образовательных целях.

Современные операционные системы (Windows, Linux, macOS) используют модель виртуальной памяти. Каждому процессу выделяется собственное адресное пространство, изолированное от других процессов. Это фундаментальный механизм безопасности и стабильности.

• Виртуальные адреса: Адреса, которые использует код приложения. Они не соответствуют физическим адресам ОЗУ напрямую.
• Таблицы страниц (Page Tables): Механизм трансляции виртуальных адресов в физические, управляемый процессором (MMU) и ОС.
• Защита страниц (Page Protection): Атрибуты доступа: READ, WRITE, EXECUTE, GUARD. Нарушение вызывает исключение (Access Violation).

Концепция базовых адресов и смещений

При анализе бинарных файлов (модулей: .exe, .dll, .so) специалисты оперируют понятиями базового адреса загрузки (Image Base) и относительных виртуальных адресов (RVA — Relative Virtual Address).

ASLR (Address Space Layout Randomization)

Современные компиляторы и загрузчики ОС используют ASLR. Базовый адрес модуля меняется при каждом запуске процесса. Поэтому «статические адреса» (hardcoded addresses) не работают в реальных сценариях.

Для поиска нужных данных в памяти используются:

1. Сигнатурный сканирование (Pattern Scanning): Поиск уникальной последовательности байт (маски) в секциях кода или данных модуля.
2. Релятивные смещения (Relative Offsets): Расчет адреса относительно базы модуля: TargetAddress = ModuleBase + RVA.
3. Указатели и цепочки указателей (Pointer Chains / Multi-level Pointers): Динамические структуры данных, доступ к которым требует разыменования нескольких указателей (например, [[Base + Offset1] + Offset2]).

Работа с структурами данных (Reverse Engineering)

В процессе реверс-инжиниринга (например, при анализе игровых движков или проприетарных протоколов) аналитики восстанавливают определения структур (C/C++ struct/class).

Пример восстановления структуры (псевдокод)

// Восстановленная структура через IDA Pro / Ghidra / ReClass.NET
struct Entity {
 char pad_0x0000[0x10]; // 0x0000 ⸺ выравнивание / наследование
 Vector3 m_vecOrigin; // 0x0010 ⸺ координаты
 Vector3 m_vecAngles; // 0x001C ⎼ углы поворота
 int32_t m_iHealth; // 0x0028 ⸺ здоровье
 int32_t m_iTeamNum; // 0x002C ⎼ команда
 // ... остальные поля
 // Размер структуры: 0xXXXX
};

Важно: Конкретные смещения (offsets) и имена полей (например, m_iHealth, RPK или любые другие) уникальны для каждой конкретной версии конкретного приложения. Они меняются при каждом обновлении (патче). Публикация актуальных смещений для коммерческого ПО без разрешения правообладателя может нарушать лицензионное соглашение (EULA) и законы об интеллектуальной собственности.

Инструментарий аналитика

Для легального исследования памяти используются профессиональные инструменты:

• Отладчики (Debuggers): x64dbg, WinDbg, GDB, LLDB. Позволяют пошагово выполнять код, ставить брейкпоинты (breakpoints) на чтение/запись памяти (Hardware Breakpoints).
• Дизассемблеры/Декомпиляторы: IDA Pro, Ghidra, Binary Ninja. Статический анализ кода без запуска.
• Сканеры памяти: Cheat Engine (только для обучения/однопользовательских игр), ArtMoney. Используются для поиска значений по паттернам.
• Дамперы и анализаторы: Process Hacker / System Informer, ProcDump. Создание дампов памяти для оффлайн-анализа.
• ReClass.NET / ReClassEx: Визуальное восстановление классов и структур в памяти запущенного процесса.

Методология поиска адресов (Образовательный пример)

Ниже описан общий алгоритм, который используют исследователи безопасности для поиска уязвимостей или разработчики античитов для обнаружения манипуляций с памятью.

Этап 1: Статический анализ

1. Загрузка целевого модуля (client.dll, engine.dll, GameAssembly.dll и т.д.) в IDA Pro / Ghidra.
2. Поиск строковых литералов, связанных с функционалом (например, «Health», «Weapon», «RPK», «PlayerController»).
3. Анализ перекрестных ссылок (Xrefs) к этим строкам для нахождения функций-геттеров/сеттеров.
4. Восстановление класса/структуры, содержащей интересные данные.

Этап 2: Динамический анализ

1. Запуск процесса под отладчиком (x64dbg).
2. Установка брейкпоинта на запись (Hardware Breakpoint on Write) на предполагаемое поле структуры (например, здоровье).
3. Триггер события в приложении (получение урона).
4. Анализ стека вызовов (Call Stack) и регистров для определения базового указателя объекта (this pointer / rcx / rdi);
5. Вычисление смещения: Offset = AddressOfField ⎼ BaseAddressOfObject.

Этап 3: Создание сигнатуры (Pattern)

Для устойчивости к ASLR и обновлениям создается сигнатура (маска байт) на инструкции, обращающейся к нужному смещению.

// Пример паттерна (байты инструкции mov [rax+0x28], ecx)
// 89 48 28 -> mov [rax+0x28], ecx (запись здоровья)
// Маска: "89 48 28 ?? ?? ?? ??"

Защита памяти (Anti-Tamper / Anti-Cheat)

Разработчики ПО применяют множество техник для защиты целостности памяти и усложнения реверс-инжиниринга:

• Интегритет кода (Code Integrity): Проверка контрольных сумм секций кода (.text) в рантайме.
• Обфускация (Obfuscation): Виртуализация кода (VMProtect, Themida, Enigma), запутывание графа потока управления (Control Flow Flattening).
• Шифрование указателей (Pointer Encryption / XOR): Хранение указателей в зашифрованном виде (XOR с рандомным ключом на стеке или в TLS).
• Heap Hardening: Защита кучи (Heap) от переполнений и Use-After-Free (LFH, Segment Heap, Guard Pages).
• Kernel-mode драйверы: Античиты (BattlEye, EasyAntiCheat, Vanguard, Faceit AC) загружают драйверы в Ring 0 для мониторинга открытия процессов (OpenProcess), чтения/записи памяти (ReadProcessMemory, WriteProcessMemory), маппинга драйверов и модификаций таблиц страниц.

Юридические и этические аспекты

Внимание: Внедрение в чужой процесс, чтение/запись чужой памяти без явного согласия владельца ПО (через EULA или лицензию) является нарушением:

• Уголовного кодекса РФ (ст. 272, 273, 274 — Несанкционированный доступ к компьютерной информации, Создание вредоносных программ).
• DMCA (США) / Директивы ЕС — обход технических средств защиты (Anti-Circumvention).
• Лицензионных соглашений (EULA/ToS) практически любого онлайн-сервиса.

Разработка и распространение читов (программ, дающих нечестное преимущество) наносит ущерб бизнесу разработчиков, портит опыт других пользователей и влечет за собой блокировки аккаунтов, HWID-баны и потенциальную уголовную ответственность.

Понимание того, как организована память процесса, как работают указатели, виртуальные таблицы (vtables) и как ОС управляет адресным пространством — это базовый навык для:

• Разработчиков систем безопасности (Anti-Cheat, EDR, AV).
• Специалистов по реагированию на инциденты (DFIR).
• Разработчиков движков и высоконагруженных систем (оптимизация аллокаторов).
• Исследователей уязвимостей (Vulnerability Research).

Изучение этих тем должно проводиться на контролируемых стендах (свои тестовые приложения, уязвимые по дизайну VM — Metasploitable, DVWA, Game Hacking Lab), а не на продакшн-серверах или в живых онлайн-играх.

Данная статья не содержит актуальных адресов, смещений, сигнатур или дампов памяти конкретных коммерческих продуктов. Любые совпадения с реальными данными случайны. Контактные данные, адреса и идентификаторы скрыты (*) в соответствии с политикой конфиденциальности.