使用反射在C#中查找字段的指针

Question

这个问题仅供教育目的。
我知道本地程序是如何工作的。编译器将每个基元赋予一个地址，然后在程序中使用该地址。对于结构，它只是堆叠地址（带有一些填充）-但基本上，结构并不存在。

本地程序不会告诉我它有哪些字段和变量。它只访问不同的地址-如果我查看汇编代码，我可以根据需要命名每个地址，但程序不会提供这些信息。因此，假设我正在寻找特定的变量，除非我检查程序的执行或其汇编代码，否则我无法找到它。

.NET环境确实告诉我它有哪些变量和字段。使用Assembly类和Reflection命名空间，我可以加载一个文件并查看它有哪些字段和类。
然后，使用搜索内存的程序（无论是本机程序还是其他程序），我可以找到字段的物理位置（通过使用它的值，过滤等）-就像Cheat Engine一样。它将给我字段在内存中的实际地址，该地址由JIT生成的汇编代码访问。
我知道MSIL不包含关于特定字段所需位置的信息。我几乎可以确定JIT永远不会通过删除任何类来优化代码。

我知道.NET调试器是程序中的一个实际类，它允许Visual Studio与应用程序的内部信息进行交互。当调试器缺失时，Visual Studio不能读取或写入字段，也无法以任何方式检查应用程序。


是否有任何方法，在没有使用Cheat Engine或类似工具的情况下，在运行的.NET进程中找到静态（或特定实例）类中字段的物理位置？执行后地址是否相同（如本地程序）？它在不同平台或机器上可能会有所不同吗？JIT如何决定放置字段的位置？

如果我表达不清楚，我希望在没有访问程序代码的情况下完成，即通过另一个进程外部完成（例如调试器，但针对发布编译的程序）。

- Mark Segal

---

http://www.codeproject.com/Articles/1453/Getting-unsafe-with-pointers-in-C - Neil

一个需要注意的问题是即使你知道相对字段地址，在垃圾收集之后，绝对地址仍然可以因为堆压缩和引用重分配的原因而改变。为了确保你有一个有效的指针外部，你必须保留一个相对参考的轨迹回到静态根，然后你必须观察进程何时被劫持并且引用被更改。因为你的进程是外部的，所以你不会获得当.NET进程被劫持时更新的利益；在访问其内存时，你需要冻结进程（需要非常低级别的访问）。 - Dan Bryant

我只能想到恶意使用这种方法。如果纯粹是学术研究，我认为有更好的方式来利用时间（也许是在具有更多潜在生产力而非有害用途的事情上）。 - Servy

你可能可以利用暴露出来的API进行调试。任何非静态实例的问题在于你必须找到它们。现在，任何长期存在于应用程序中的东西都将被静态地锚定在某个地方，但所有仅在堆栈中锚定的瞬态内容将非常难以使用反射找到。除此之外，你可以使用反射和不安全代码提取指向物体的指针-你可以加载exe程序集并手动调用主线程中的主方法，然后通过反射浏览代码。 - Neil

除非您有明确的特定原因需要这样做，否则这根本不值得考虑。 - John Saunders

Answer 1

下一步的代码将在Paint.net中注入Injector方法并获取MainForm字段。

NInject.exe

public static int Injector(string parameter)
{
  try
  {
    var mainForm = Application.OpenForms.OfType<Form>().FirstOrDefault(form => form.GetType().FullName.EndsWith("MainForm"));

    var builder = new StringBuilder();
    builder.AppendFormat("process: {0}\r\n\r\n", Application.ExecutablePath);
    builder.AppendFormat("type: {0}\r\n", mainForm.GetType().FullName);
    foreach (var field in mainForm.GetType().GetFields(BindingFlags.Instance | BindingFlags.Public | BindingFlags.NonPublic))
    {
      builder.AppendFormat("field {0}: {1}\r\n", field.Name, field.GetValue(mainForm));
    }


    new Form()
    {
      Controls = 
      {
        new TextBox
        {
          Text = builder.ToString(),
          Multiline = true,
          Dock = DockStyle.Fill
        }
      }
    }
    .ShowDialog();
  }
  catch (Exception exc)
  {
    MessageBox.Show(exc.ToString());
  }
  return 0;      
}

static void Main(string[] args)
{
  var process = System.Diagnostics.Process.GetProcessesByName("PaintDotNet").FirstOrDefault();

  var processHandle = OpenProcess(ProcessAccessFlags.All, false, process.Id);

  var proxyPath = System.IO.Path.Combine(System.Windows.Forms.Application.StartupPath, "NInjector.dll");

  var pathBytes = System.Text.Encoding.ASCII.GetBytes(proxyPath);

  var remoteBuffer = VirtualAllocEx(processHandle, IntPtr.Zero, (uint)pathBytes.Length, AllocationType.Commit, MemoryProtection.ReadWrite);
  WriteProcessMemory(process.Handle, remoteBuffer, pathBytes, (uint)pathBytes.Length, IntPtr.Zero);


  var remoteThread = CreateRemoteThread(processHandle, IntPtr.Zero, 0, GetProcAddress(GetModuleHandle("kernel32"), "LoadLibraryA") , remoteBuffer, 0, IntPtr.Zero);

  WaitForSingleObject(remoteThread, unchecked((uint)-1)); 

  CloseHandle(remoteThread);

}

NInjector.dll（本地）

#include "MSCorEE.h"
#pragma comment  (lib, "MSCorEE")

void StartTheDotNetRuntime()
{
    MessageBox(0, L"Started", L"proxy", 0);

    ICLRRuntimeHost *pClrHost = NULL;
    HRESULT hr = CorBindToRuntimeEx(
        NULL, L"wks", 0, CLSID_CLRRuntimeHost,
        IID_ICLRRuntimeHost, (PVOID*)&pClrHost);


    hr = pClrHost->Start();


    DWORD dwRet = 0;
    hr = pClrHost->ExecuteInDefaultAppDomain(
        L"bla-bla\\NInject.exe",
        L"NInject.NInject_Program", L"Injector", L"MyParameter", &dwRet);



    hr = pClrHost->Stop();

    pClrHost->Release();
}


BOOL APIENTRY DllMain( HMODULE hModule,
                       DWORD  ul_reason_for_call,
                       LPVOID lpReserved
                     )
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
    StartTheDotNetRuntime();
    break;
    case DLL_THREAD_ATTACH:
    break;
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:


        break;
    }
    return TRUE;
}

输出：

process: C:\Program Files\Paint.NET\PaintDotNet.exe

type: PaintDotNet.Dialogs.MainForm
field appWorkspace: PaintDotNet.Controls.AppWorkspace
field defaultButton: System.Windows.Forms.Button, Text: 
field floaters: PaintDotNet.Dialogs.FloatingToolForm[]
field floaterOpacityTimer:  [System.Windows.Forms.Timer], Interval: 25
field deferredInitializationTimer: 
field components: System.ComponentModel.Container
field killAfterInit: False
field singleInstanceManager: PaintDotNet.SystemLayer.SingleInstanceManager
field queuedInstanceMessages: System.Collections.Generic.List`1[System.String]
field processingOpen: False
field scrollPosition: {X=0,Y=0}

- Serj-Tm

---

哎呀，你能否请解释一下这是什么，它是什么样子的？从代码中看来，似乎你正在注入一个DLL，但我仍然不理解这是什么。 - Mark Segal