C#：在另一个进程的内存中搜索 byte[] 数组

Question

怎么可能在另一个进程的内存中查找一个byte[]数组，然后得到该byte[]数组所在的地址呢？

我想将一个字节数组写入另一个进程的内存中（WriteProcessMemory()）。该调用的参数之一是 uint Address。我想通过在进程中搜索字节数组来获取地址。

例如，我搜索 {0xEB ,0x20,0x68,0x21,0x27,0x65, ??, 0x21,0x64,0xA1}

我们假设该数组仅放置在我想要写入的进程的内存中的一个位置记忆到.

要获取该地址，我必须搜索该字节数组。

可以用C#来完成吗？

编辑： 这适用于本机应用程序，而不是 .NET。 无需否决我的问题，C++ 有一些组件可以执行此操作，我只想在 C# 中执行此操作。

感谢您的理解！

Answer 1

可以用C#来完成吗？
在 C#（或任何其他语言）中一切皆有可能，你只需要找到方法；

此处硬编码：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;
using System.Diagnostics;
using System.Runtime.InteropServices;

namespace ConsoleApplication1
{
    class Program
    {
        [DllImport("kernel32.dll", SetLastError = true)]
          static extern bool ReadProcessMemory(
          IntPtr hProcess,
          IntPtr lpBaseAddress,
          [Out] byte[] lpBuffer,
          int dwSize,
          out int lpNumberOfBytesRead
        );

    [DllImport("kernel32.dll")]
    public static extern IntPtr OpenProcess(int dwDesiredAccess, bool bInheritHandle, int dwProcessId);

    [DllImport("kernel32.dll", SetLastError = true)]
    [return: MarshalAs(UnmanagedType.Bool)]
    static extern bool CloseHandle(IntPtr hObject);
    static void Main(string[] args)
    {
        Process[] procs = Process.GetProcessesByName("explorer");
        if (procs.Length <= 0)  //proces not found
            return; //can replace with exit nag(message)+exit;
        IntPtr p = OpenProcess(0x10 | 0x20, true, procs[0].Id); //0x10-read 0x20-write

        uint PTR = 0x0; //begin of memory
        byte[] bit2search1 = {0xEB ,0x20,0x68,0x21,0x27,0x65}; //your bit array until ??
        int k = 1;  //numer of missing array (??)
        byte[] bit2search2 = {0x21,0x64,0xA1};//your bit array after ??
        byte[] buff = new byte[bit2search1.Length+1+bit2search2.Length];    //your array lenght;
        int bytesReaded;
        bool finded = false;

        while (PTR != 0xFF000000)   //end of memory // u can specify to read less if u know he does not fill it all
        {
            ReadProcessMemory(p, (IntPtr)PTR, buff, buff.Length, out bytesReaded);
            if (SpecialByteCompare(buff, bit2search1,bit2search2,k))
            {
                //do your stuff
                finded = true;
                break;
            }
            PTR += 0x1;
        }
        if (!finded)
            Console.WriteLine("sry no byte array found");
    }

    private static bool SpecialByteCompare(byte[] b1, byte[] b2, byte[] b3, int k)  //readed memory, first byte array, second byte array, number of missing byte's
    {
        if (b1.Length != (b2.Length + k + b3.Length))
            return false;
        for (int i = 0; i < b2.Length; i++)
        {
            if (b1[i] != b2[i])
                return false;
        }

        for (int i = 0; i < b3.Length; i++)
        {
            if (b1[b2.Length + k + i] != b3[i])
                return false;
        }
        return true;
    }
}

}

Answer 2

我想你可以使用 ReadProcessMemory Windows API称呼。 甚至还有一个预制 P/Invoke 签名，这样您就不需要无需费心手动制作它。 您翻阅流程的内存，搜索您的模式，然后就完成了。

Answer 3

您需要使用这些 API：

    [DllImport("Kernel32.Dll")]
    public static extern uint VirtualQueryEx(IntPtr ProcessHandle, uint Address, ref MEMORY_BASIC_INFORMATION MemInfo, int MemInfoLength);
    [DllImport("Kernel32.Dll")]
    public static extern bool ReadProcessMemory(IntPtr ProcessHandle, uint Address, byte[] Buffer, uint Size, ref uint BytesRead);
    [DllImport("Kernel32.Dll")]
    public static extern bool WriteProcessMemory(IntPtr ProcessHandle, uint Address, byte[] Buffer, uint Size, ref uint BytesRead);

pinvoke.net 是一个很棒的工具Windows API 调用的资源。 我为 GTA: Vice City 编写了一个训练器，如果您想查看 代码在sourceforge上。 代码并不漂亮，那是很久以前的事了，我只是把它放在一起，但是有一些帮助器类用于枚举进程的内存区域并搜索某些字节或字符串。

Answer 4

这可能会帮助您找到正确的方法：

private static int GetMemoryAddressOfString(byte[] searchedBytes, Process p)
{
    //List<int> addrList = new List<int>();
    int addr = 0;
    int speed = 1024*64;
    for (int j = 0x400000; j < 0x7FFFFFFF; j+= speed)
    {
        ManagedWinapi.ProcessMemoryChunk mem = new ProcessMemoryChunk(p, (IntPtr)j, speed + searchedBytes.Length);

        byte[] bigMem = mem.Read();

        for (int k = 0; k < bigMem.Length - searchedBytes.Length; k++)
        {
            bool found = true;
            for (int l = 0; l < searchedBytes.Length; l++)
            {
                if(bigMem[k+l] != searchedBytes[l])
                {
                    found = false;
                    break;
                }
            }
            if(found)
            {
                addr = k+j;
                break;
            }
        }
        if (addr != 0)
        {
            //addrList.Add(addr);
            //addr = 0;
            break;
        }
    }
    //return addrList;
    return addr;
}

Answer 5

可以用C#实现吗？

是的。 但非常难。 对于本机应用程序来说，这很困难，因为没有与您需要使用的进程的非托管视图及其内存映射不匹配的阻抗。

注意事项：

• 您需要获得权限才能打开进程以获取句柄。
• 虽然 32 位进程的虚拟内存空间大小为 2 到 4 GB（取决于主机操作系统和 /3GB 开关），但此地址范围的大部分不会被分配，并且读取它会导致页面错误。 您确实需要找出分配了哪些页面以及分配了什么页面以避免大量无效页面访问。

建议：

• 您真的需要这样做吗？ 说真的，这会很难。
• 考虑做一个本机应用程序，这将避免跨本机/托管围栏工作（这可能包括带有托管驱动程序应用程序的本机库）。
• 你真的需要这样做吗？
• 考虑在目标进程内进行工作。 这将需要一些技巧（已记录）来注入线程，但应该会快得多。
• 首先阅读 Windows 进程内存的工作原理（从 Windows Internals 开始，以及（在最新版本中记不起其名称）Jeffrey Richter 的有关 Win32 应用程序开发的书。
• 您真的需要这样做吗？一定有更简单的东西。 ..你可以自动化调试器吗？