Forza Horizon 4 修复全过程总结一、最初症状：启动无界面有进程游戏启动后表现为：

• 内存稳定在 210MB，6 个线程，CPU 时间持续增长
• 无窗口、无画面，NVIDIA GPU 0%
• 进程一直存在但不继续初始化

排查过程（均无效）表格
排查方向结果HOODLUM/OnlineFix 两套破解均无效Xbox Identity Provider + 4 个 Xbox 服务已安装启动，无效火绒信任区→退出→断网→完全卸载无效（后证实火绒误删了 explorer.exe）双显卡（RTX 3060 + AMD 核显）注册表配置高性能，无效各种启动参数（-windowed/-dx11/-nosound 等）全部无效重命名 amd_ags_x64.dll行为有变化但仍无窗口二、关键突破：WinDbg 转储分析发现死锁通过完整内存转储 + ~* k 查看所有线程调用栈，定位到死锁：

• 主线程：ntdll!NtWaitForSingleObject → LdrpDrainWorkQueue → LdrpLoadDllInternal → 游戏代码 → LoadLibraryExW主线程在等待 DLL 加载工作队列排空
• 关键工作线程：游戏的 DLL 加载通知回调函数 → LdrpSendDllNotifications → … → dinput8!__delayLoadHelper2回调函数在处理 DLL 加载通知时卡住了

根本原因初步定位：游戏注册的 LdrRegisterDllNotification 回调函数有 bug，处理任何 DLL 通知都会卡住，导致主线程等待的工作队列永远无法排空。

三、代理 DLL 方案迭代（A~J，大部分失败）方案 A：代理 dinput8.dll + DllMain 预加载 InputHost.dll游戏行为有变化，但仍无窗口。
方案 B：完全独立的 dinput8 存根 DLL重大发现：回调函数仍然卡住，但这次触发它的不是 dinput8.dll，而是 user32.dll！

• 调用链：游戏调用 LoadImage（加载图标）→ user32!LoadIcoCur → user32!ConvertPNGToDIBIcon → user32!InitializeIcs → LoadLibraryExW → 触发游戏回调
• 结论：问题不是某个特定 DLL，而是游戏的回调函数本身有 bug

方案 C：完全阻止回调注册（inline hook LdrRegisterDllNotification）重大突破：游戏通过了之前的卡住点！

• 内存从 210MB 暴增到 885MB，线程从 6 暴增到 131
• 游戏开始正常初始化
• 但 20-25 秒后崩溃退出（0xC0000005 访问违例）

新问题：回调函数虽然有 bug，但也负责初始化某些子系统。完全阻止注册后，游戏的某个对象没有被正确创建，后续虚函数调用时对象指针无效。
方案 D~J：各种回调策略

• 包装回调 + 按 DLL 名称过滤
• 单独线程调用回调 + 超时
• 只允许前 N 个回调通过
• 预加载 50 个系统 DLL

全部失败：回调函数处理任何 DLL 通知都会崩溃（异常代码 0xC0000027），19 次崩溃只有 5-6 次成功。

四、回调函数逆向分析

• 回调函数真实起始 RVA：0x2D4D4B4，大小约 0x800 字节
• 代码加密：起始处第一个字节是 0x6C（insb 特权指令），看起来是随机数据
• 崩溃地址集中在回调函数偏移 0x08C1 附近（回调调用的子函数）
• 直接逆向困难

五、重大突破：WinDbg 实时调试定位具体 bug通过在崩溃点设置断点 + 单步执行，精确定位到回调函数崩溃的具体原因：

• 崩溃地址：ForzaHorizon4+0x861b870（第二个 .text 节，未加密）
• 崩溃指令：mov dword ptr [rcx],eax
• rcx = 00000000738fed4c（高 32 位为 0，无效地址）

根本原因：

lea ecx,[rbp+100h]   ; ❌ 用了 32 位寄存器 ecx！
sub ecx,4             ; 把 64 位栈地址截断成了 32 位
mov dword ptr [rcx],eax  ; 写入无效地址 → 崩溃

应该是 lea rcx,[rbp+100h]（64 位寄存器）。

六、游戏主程序补丁PE 文件结构发现游戏有 11 个节，包括两个 .text 节：

• 第一个 .text 节（VA 0x1000，75MB）：代码加密，运行时才解密
• 第二个 .text 节（VA 0x087B4000，19MB）：代码未加密，可直接打补丁
• 有 .detourc/.detourd 节：使用了 Microsoft Detours 库 hook Steam API

补丁详情

• 位置：文件偏移 0x085ECA77（第二个 .text 节）
• 原始：8D 8D 00 01 00 00 83 E9 04（lea ecx,[rbp+100h] + sub ecx,4）
• 补丁：48 8D 8D FC 00 00 00 90 90（lea rcx,[rbp+0FCh] + nop + nop）
• 作用：用 64 位寄存器 rcx 计算地址，避免指针被截断

补丁测试结果表格
组合结果只用补丁（不阻止回调）回到最初的死锁（回调还有其他 bug）补丁 + 完全阻止回调能到窗口，但 18 秒后崩溃补丁 + 包装回调能到窗口，但很快崩溃
结论：lea ecx 只是回调函数的 bug 之一，回调还有其他 bug，无法完全修复。

七、第一个崩溃点分析（阻止回调后的崩溃）阻止回调注册后，游戏在 ForzaHorizon4+0x32bf42f 崩溃：

• 指令：call qword ptr [rax+20h]（虚函数调用）
• rax = 0x100000000 或 0（无效对象指针 / 虚函数表指针为 0）
• 在第一个 .text 节（加密代码，无法直接打补丁）

崩溃点函数完整反汇编

push rbx
sub rsp, 30h
mov r9, [rcx+18h]        ; r9 = 输入对象偏移 0x18
lea r8, [rip-0x461]      ; r8 = 静态地址
mov rbx, [rcx+8]          ; rbx = 返回值保存位置
add r9, 0A0h              ; r9 += 0xA0
mov edx, 4                ; 参数2 = 4
mov dword ptr [rsp+20h], 101h  ; 参数5 = 0x101
mov rcx, [r9]             ; rcx = 子对象指针（this）
mov rax, [rcx]            ; rax = 虚函数表指针 ← 为0！
call qword ptr [rax+20h]  ; 调用虚函数 ← 崩溃
mov [rbx], eax             ; 保存返回值
mov byte ptr [rbx+4], 1   ; 设置成功标志
add rsp, 30h
pop rbx
ret

关键发现：

• 子对象来自输入对象偏移 0xB8（[rcx+0x18] + 0xA0）
• 子对象的虚函数表指针为 0（未初始化）
• 这是一个查询 / 初始化函数，调用子系统的虚函数并保存结果

崩溃点 hook 方案

• 用轮询检测代码解密状态，一旦崩溃点解密完成（原始字节 FF 50 20），立即用 3 个 nop 替换
• 效果：游戏能加载 1.5GB 资源，有时 50 秒崩溃，有时 90 秒 + 不崩
• 游戏能到主界面，但进入大世界闪退

八、VEH 异常处理方案第一个崩溃点处理

• VEH 捕获崩溃点，跳过 call，设置 rax=1（非零返回值）
• 游戏能稳定到主界面（151 秒未崩溃）
• 但进入大世界时闪退

第二个崩溃点（进入大世界闪退）

• 崩溃地址：0x00007FF912357410（固定值，不在任何模块中）
• rax = 崩溃地址本身，程序通过 call rax 跳转
• rcx 指向栈结构体，第一个成员就是这个无效函数指针
• 发生在 Concurrency::task（并发任务）线程中
• 调用栈底部：MSVCP140!Concurrency::details::_Task_scheduler_callback
• rdi 指向的对象包含字符串 “keyboard”（键盘输入设备对象）

根本原因：第一个崩溃点跳过的虚函数调用负责初始化键盘输入子系统。进入大世界时，未初始化的键盘输入任务被调度执行，其函数指针为无效值。
第二个崩溃点各种方案（均失败）表格
方案结果跳转到栈上 “返回地址”新崩溃（地址不正确，代码仍访问无效内存）ExitThread 终止线程新崩溃（栈已损坏，ExitThread 内部异常）存根函数替换函数指针级联崩溃（任务体未执行，后续代码访问更多无效内存）九、最终方案（成功！）第一个崩溃点：假虚函数表不再跳过 call，而是：

1. 构造一个假的虚函数表（8 个条目，偏移 0x20 处是存根函数地址）
2. 检查子对象的虚函数表指针，如果为 0 或无效，把它指向假表
3. 重新加载 rax = 假表地址
4. 继续执行 call 指令（不跳过）

效果：虚函数调用 “成功”（调用存根函数返回 0），对象被正确 “初始化”（返回值 0 + 成功标志 1），后续代码能正常运行。
第二个崩溃点：挂起线程不再终止或替换，而是：

1. VEH 捕获第二个崩溃点（键盘输入任务）
2. 调用 SuspendThread 挂起当前线程
3. 线程不会继续执行，也不会崩溃
4. 游戏的其他线程继续运行

关键洞察：这个键盘输入任务线程不是关键线程，挂起它不影响游戏正常操作（键盘、手柄、声音、画面均正常）。

十、最终结果表格
指标数值启动到主界面约 30 秒进入大世界约 75 秒（自动挂起键盘任务线程）稳定运行5 分钟 + 未崩溃内存占用约 4GB（正常）游戏内操作键盘、手柄、声音、画面均正常
修复文件

1. ForzaHorizon4.exe（已打补丁）：修复 lea ecx 32 位指针截断 bug
2. dinput8.dll（代理 DLL）：

• 阻止游戏注册 DLL 加载通知回调
• VEH 捕获第一个崩溃点 → 假虚函数表修复
• VEH 捕获第二个崩溃点 → 挂起键盘输入任务线程

根本原因总结游戏的 DLL 加载通知回调函数存在多个 bug（包括 lea ecx 32 位指针截断），导致回调函数处理任何 DLL 通知都会死锁或崩溃。阻止回调注册后，输入设备子系统（键盘等）未初始化，导致后续虚函数调用和并发任务执行时崩溃。通过假虚函数表 + 挂起未初始化任务线程的方式，绕过了这两个崩溃点，让游戏能正常运行。
朗读朗读
今天 23:17