DirectX9程序中IDirect3D9设备指针的特征码查找问题

嘿，我看你在给自研的DirectX9测试程序写特征码查找器时，卡在了定位IDirect3D9设备指针的起始特征码上，我来帮你梳理下几个关键问题和修正方法：

你当前的扫描长度计算完全反了！起始地址是0x14008613F，结束地址是0x14008615D，长度应该是结束地址减去起始地址，而不是反过来。现在的计算会得到负数，导致扫描循环直接跳过，根本不会执行任何查找操作。

修正后的代码片段：

unsigned long dwStartAddress = 0x14008613F;
unsigned long dwEndAddress = 0x14008615D;
unsigned long dwLen = dwEndAddress - dwStartAddress; // 正确的长度计算

你当前用的特征码"\x00\x48\x8B\xF8"和掩码"?xxx"和你给出的目标汇编指令完全不匹配。先看你要定位的汇编：

jnz short loc_14008615E
mov [rbx+0E8h], eax

基于x64架构（从rbx寄存器判断），这段汇编对应的机器码是：

• jnz short loc_xxxxxx：机器码是0x75 + 1个动态偏移字节（这个偏移会随指令位置变化，所以用掩码?）
• mov [rbx+0E8h], eax：机器码是固定的0x89 0x83 0xE8 0x00 0x00 0x00

如果你想精准定位mov指令（稳定性更高），对应的特征码和掩码应该是：

DWORD m_dwaddy = dwFindPattern((PBYTE)"\x89\x83\xE8\x00\x00\x00", (char *)"xxxxxx");

如果要包含前面的jnz指令（注意偏移字节是动态的），特征码和掩码应为：

DWORD m_dwaddy = dwFindPattern((PBYTE)"\x75\x??\x89\x83\xE8\x00\x00\x00", (char *)"x?xxxxxx");

当你找到mov [rbx+0E8h], eax这条指令后，要注意：

• 这条指令是把eax（也就是CreateDevice返回的IDirect3D9设备指针）写入rbx+0xE8指向的内存地址。所以你需要在程序执行完这条指令后，读取[rbx+0xE8]的值；如果是静态分析，要先确认rbx指向的是哪个结构体的基地址，再计算偏移。
• 运行时扫描的话，最好在CreateDevice调用完成后再执行查找，确保指针已经被正确写入内存。

• 用x64dbg这类调试器附加到你的测试程序，找到目标汇编指令的位置，直接复制对应的机器码来生成特征码和掩码，这是最准确的方式。
• 在bDataCompare函数里加个日志输出或者断点，跟踪每一次比较的过程，看看是否有匹配的情况被遗漏。
• 尽量避免硬编码固定地址，最好用模块的加载基地址加上偏移，因为程序加载时基地址可能会变化。

内容的提问来源于stack exchange，提问作者Plixxer