我需要知道进程使用的所有内存地址空间。稍后将扫描内存空间以查找进程中的值并确定它们的位置/地址。我目前的处理方式是通过每个模块的基地址加上其内存大小来获取每个模块的基地址。
我正在测试一个具有已知值和已知地址的进程。当我查看该特定地址时,我得到了我预期的值。但是,当我扫描了(我认为的)进程使用的所有地址空间时,我无法在任何地方找到该值。
我知道数字值“4143000”存在于0x0CF8DC38和0x0CF8DDDC处。当我调用ReadMemoryBytes(module, module.BaseAddress, 4, (IntPtr)(0x0CF8DC38))时,我返回了字节(152、55、63、0)。当我调用BitConverter.GetBytes(4143000)时,我也返回了相同的字节集。当我在该进程上使用不同的内存扫描器时,我发现该值在这些地址处。
但是,当我扫描“已知地址”时,我在任何地方都找不到这个值。似乎我的代码甚至没有找到进程正在使用的那些地址。
因此,我的问题有两个方面:
我正在测试一个具有已知值和已知地址的进程。当我查看该特定地址时,我得到了我预期的值。但是,当我扫描了(我认为的)进程使用的所有地址空间时,我无法在任何地方找到该值。
我知道数字值“4143000”存在于0x0CF8DC38和0x0CF8DDDC处。当我调用ReadMemoryBytes(module, module.BaseAddress, 4, (IntPtr)(0x0CF8DC38))时,我返回了字节(152、55、63、0)。当我调用BitConverter.GetBytes(4143000)时,我也返回了相同的字节集。当我在该进程上使用不同的内存扫描器时,我发现该值在这些地址处。
但是,当我扫描“已知地址”时,我在任何地方都找不到这个值。似乎我的代码甚至没有找到进程正在使用的那些地址。
因此,我的问题有两个方面:
- 如何在该进程中找到这些地址?
- 我担心我可能正在处理系统内存中的绝对地址,而不是进程内的相对地址。我做得对吗?
// (in the calling method)
foreach (ProcessModule module in process.Modules) {
ParameterizedThreadStart pst = new ParameterizedThreadStart(p => SearchModule(module, value));
Thread t = new Thread(pst);
t.Start(); }
private unsafe void SearchModule(ProcessModule module, string value)
{
Process process = getProcess;
int iVal;
double dVal;
int.TryParse(value, out iVal);
double.TryParse(value, out dVal);
for (Int64 addr = (Int64)module.BaseAddress; addr + value.Length < (Int64)module.BaseAddress + module.ModuleMemorySize; addr++)
{
// Compare ints
if (iVal > 0)
{
byte[] ExpectedBytes = BitConverter.GetBytes(iVal);
byte[] ActualBytes = ReadMemoryBytes(module, (IntPtr)addr, (uint)ExpectedBytes.Length, (IntPtr)addr);
bool isMatch = true;
for (int i = 0; i < ExpectedBytes.Length; i++)
if (ExpectedBytes[i] != ActualBytes[i])
isMatch = false;
if (isMatch)
PossibleAddresses.Add((IntPtr)addr);
}
}
private byte[] ReadMemoryBytes(ProcessModule mod, IntPtr memAddress, uint size, IntPtr BaseAddress)
{
byte[] buffer = new byte[size];
IntPtr bytesRead;
unsafe
{
ReadProcessMemory(processPointer, BaseAddress, buffer, size, out bytesRead);
return buffer;
}
}
[DllImport("kernel32.dll")]
public static extern IntPtr OpenProcess(UInt32 dwDesiredAccess, Int32 bInheritHandle, UInt32 dwProcessId);
[DllImport("kernel32.dll")]
public static extern Int32 CloseHandle(IntPtr hObject);
[DllImport("kernel32.dll")]
public static extern Int32 ReadProcessMemory(IntPtr hProcess, IntPtr lpBaseAddress, [In, Out] byte[] buffer, UInt32 size, out IntPtr lpNumberOfBytesRead);