如何使用X64dbg修改程序中的名称字符串？

Question

如何在使用x64dbg调试程序时，定位并修改程序中硬编码的名称字符串？例如某个软件界面显示的用户名或标题名，我希望通过十六进制编辑直接替换字符串内容。但在内存中搜索该字符串时无法立即找到，或修改后无效。这是否与字符串加密、延迟加载或内存分页保护有关？应如何结合内存断点、字符串字面量扫描（如使用“Strings”插件）及修改节属性（如将.text节设为可写）来实现持久化更改？同时，如何区分ANSI与Unicode字符串，并确保替换长度不超出原缓冲区，避免程序崩溃？

Answer 1

如何在使用x64dbg调试程序时定位并修改硬编码字符串

1. 字符串未出现在内存中的常见原因分析

在使用x64dbg进行逆向工程时，用户常遇到无法搜索到目标字符串（如界面标题、用户名）的问题。这通常并非工具失效，而是由以下几种机制导致：

• 字符串加密：开发者为防止篡改，将字符串以密文形式存储，运行时解密后加载。
• 延迟加载（Lazy Loading）：字符串仅在需要显示时从资源或代码中动态构造，而非启动即驻留内存。
• 内存分页保护：某些节区（如.text）默认只读，即使找到字符串也无法写入。
• 编译器优化：字符串可能被合并、折叠或内联至指令流中，难以识别。

这些机制共同增加了直接十六进制编辑的难度，需结合多种技术手段突破限制。

2. 使用Strings插件扫描字面量字符串

x64dbg集成的Strings插件可扫描PE文件中的静态字符串字面量，是定位硬编码内容的第一步。

步骤	操作说明
1	加载目标程序至x64dbg
2	点击“Search” → “Strings”
3	执行“Refresh”扫描所有节区
4	筛选ANSI/Unicode类型，查找目标文本
5	双击跳转至反汇编视图定位引用位置

若字符串存在但未显示，说明其处于未解密状态或被混淆处理。

3. 区分ANSI与Unicode字符串的技术方法

Windows API广泛使用两种字符编码：

1. ANSI字符串：单字节字符，常见于旧版API（如MessageBoxA），在内存中连续排列，无间隔。
2. Unicode字符串：宽字符（UTF-16LE），用于现代API（如MessageBoxW），每字符占2字节，末尾为\x00\x00。

在x64dbg中可通过以下方式判断：

// 示例：Unicode字符串 "Hello" 在内存中表现为：
48 00 65 00 6C 00 6C 00 6F 00 00 00
// ANSI字符串则为：
48 65 6C 6C 6F 00

使用Data Inspector右键查看数据类型，可自动识别WCHAR*或CHAR*。

4. 设置内存断点追踪字符串加载过程

当静态扫描无效时，应采用动态调试策略：

1. 预估字符串可能出现的位置（如调用DrawTextW、SetWindowTextW前后）。
2. 在疑似函数处下断点，运行至触发。
3. 观察寄存器或栈中传递的字符串指针。
4. 对该内存地址设置硬件访问断点（Memory Breakpoint）。

示例流程图如下：

graph TD
    A[启动程序] --> B{是否显示目标文本?}
    B -- 否 --> C[继续运行]
    B -- 是 --> D[暂停于UI绘制函数]
    D --> E[提取字符串参数地址]
    E --> F[设硬件读取断点]
    F --> G[回溯至解密/构造逻辑]
    G --> H[定位原始存储位置]

此法可捕获运行时解密后的字符串副本。

5. 修改节属性实现持久化写入

即使找到字符串地址，若其位于.text节等只读区域，直接编辑将失败。需修改内存权限：

1. 在x64dbg的Memory Map窗口找到对应模块节区。
2. 右键目标节（如.text），选择“Set Page Access” → “PAGE_EXECUTE_READWRITE”。
3. 确认后即可进行十六进制编辑。

持久化更改还需使用Hex Editor插件将修改写入磁盘镜像：

步骤：
1. 复制内存中已修改的字节
2. 打开“Edit” → “Patch File”
3. 定位原文件偏移（可通过VA-RVA计算）
4. 写入新字符串并保存补丁

注意替换长度不得超过原缓冲区，否则引发溢出。

6. 缓冲区边界控制与安全替换策略

为避免崩溃，必须遵守以下原则：

原字符串	最大替换长度	建议做法
"User: John"	10字节	填充空格对齐
L"App v1.0"	8 WCHARs (16字节)	截断过长内容
加密占位符	依赖解密逻辑	优先修改解密后输出

推荐使用零填充（\x00）终止字符串，确保C-style字符串正确结束。