直接用 std::search 搜二进制特征码会失败，因默认按 char 比较且 std::string 遇 \x00 截断；须用 std::vector 或 std::span 存原始字节，并用 std::equal_to{} 逐字节无符号比较。
为什么直接用 std::search 在二进制数据里搜特征码会失败
因为 std::search 默认按 char 比较，而二进制数据中常含 \x00（空字节），它会被误判为字符串结束符；若用 std::string 存原始字节，构造时遇到 \x00 就截断，后续匹配永远不完整。必须用 std::vector<uint8_t></uint8_t> 或 std::span<const uint8_t></const>（C++20）承载原始字节，且比对逻辑需逐字节无符号比较。
实操建议：
立即学习“C++免费学习笔记（深入）”；
C++ Code Review Master
下载
组合式C++代码评审方案，融合静态分析、AI推理、多轮迭代评审和C++专项检查，适用于PR审查、增量代码审查、全项目评审和代码质量评分，触发词包括review cpp、cpp代码评审、C++review、代码审查。
- 特征码定义用
std::vector<uint8_t></uint8_t>，例如：{0x8B, 0x45, 0xEC, 0x50}，避免任何字符串字面量解析 - 搜索时用
std::search配合std::equal_to<uint8_t>{}</uint8_t>，显式指定比较器，防止隐式符号扩展（如把0xFF当成-1） - 若目标数据来自文件，用
std::ios::binary打开，读取后直接存入vector<uint8_t></uint8_t>，别转std::string
如何安全地在内存中定位并替换多个匹配位置的字节序列
不能边搜边改——替换后的新字节可能干扰后续搜索（比如新插入的 0x90 被误认为特征码一部分）。必须先收集所有匹配起始偏移，再统一替换。
实操建议：
立即学习“C++免费学习笔记（深入）”；
- 用
std::vector<size_t></size_t>存所有found_pos，每次调用std::search时从上一次结束位置 + 1 开始（非 + 特征码长度！因为可能存在重叠匹配，如搜{0x90, 0x90}在{0x90, 0x90, 0x90}中应得两个结果） - 替换前检查：确保每个
found_pos + pattern.size() ，否则越界写入 - 替换内容也必须是
std::vector<uint8_t></uint8_t>，且长度可与原特征码不同（支持 patch 扩展/压缩），但要确认目标区域是否留有足够空间（尤其 PE 文件中需考虑节对齐和属性）
Windows 下修改正在运行的进程内存（如游戏 DLL）要注意什么
直接 WriteProcessMemory 失败多数不是权限问题，而是目标内存页未设为可写。PE 加载后默认以 PAGE_EXECUTE_READ 映射代码段，必须先 VirtualProtectEx 改页属性，操作完再恢复（否则杀软可能报警或程序崩溃）。
实操建议：
立即学习“C++免费学习笔记（深入）”；
- 用
OpenProcess(PROCESS_ALL_ACCESS, FALSE, pid)获取句柄，注意 Win10+ 需开启调试权限（SeDebugPrivilege） - 调用
VirtualProtectEx时，保护标志设为PAGE_EXECUTE_READWRITE，大小传入整页（通常4096），起始地址向下对齐到页边界（addr & ~0xFFF） - 替换完成后，**必须**调用
VirtualProtectEx恢复原保护属性（从GetProtectEx查询旧值，或缓存初始值），否则下次执行该页指令可能触发异常 - 若目标是远程线程中的代码，替换后建议调用
FlushInstructionCache，避免 CPU 指令缓存未更新
Linux 下用 ptrace 注入并 patch 内存的最小可行路径
ptrace(PTRACE_ATTACH) 后，不能直接 process_vm_writev——部分内核版本或容器环境禁用该系统调用。稳妥做法是用 ptrace(PTRACE_POKETEXT) 逐 8 字节写入（x86_64），适配性更强。
实操建议：
立即学习“C++免费学习笔记（深入）”；
- 先
waitpid等待进程暂停，再用ptrace(PTRACE_GETREGS)保存寄存器现场（尤其rip），避免 patch 过程中线程继续执行 - 特征码搜索在本地内存做（读取目标内存用
ptrace(PTRACE_PEEKTEXT)循环），定位后分批调用PTRACE_POKETEXT写入，每次传入uint64_t值（注意小端序） - 写完立即
ptrace(PTRACE_DETACH)，不要留PTRACE_ATTACH状态，否则目标进程无法正常调度 - 若目标进程开了
ptrace_scope（如 Ubuntu 默认为 1），需临时echo 0 | sudo tee /proc/sys/kernel/yama/ptrace_scope
