C#: Tìm kiếm mảng byte [] trong bộ nhớ của một quá trình khác

Question

Làm thế nào để tìm kiếm mảng byte [] trong bộ nhớ của một tiến trình khác và lấy địa chỉ tại vị trí mảng byte []?

Tôi muốn viết một mảng byte vào bộ nhớ của một tiến trình khác (WriteProcessMemory()) Một trong các tham số của cuộc gọi đó là uint Address.Well Tôi muốn lấy địa chỉ bằng cách tìm kiếm một mảng byte trong tiến trình.

Ví dụ tôi tìm kiếm {0xEB, 0x20,0x68,0x21,0x27,0x65, ??, 0x21,0x64,0xA1}

Chúng tôi cho rằng mảng này được đặt chỉ vào một chỗ trong bộ nhớ của quá trình tôi muốn viết bộ nhớ.

Để nhận địa chỉ đó, tôi phải tìm kiếm mảng byte đó.

Có thể thực hiện trong C# không?

EDIT:Đây là ứng dụng gốc, KHÔNG .NET. Không cần phải downvote câu hỏi của tôi, có những thành phần cho C + + mà làm điều này, tôi chỉ muốn làm điều đó trong C#.

Cảm ơn bạn đã thông cảm!

Answer 1

Có thể thực hiện trong C# không?

Có. Nhưng rất khó. Nó là khó khăn từ một ứng dụng bản địa, nơi không có trở kháng không phù hợp với quan điểm không được quản lý của các quy trình và bản đồ bộ nhớ của họ, bạn sẽ cần phải sử dụng.

Lưu ý:

• Bạn sẽ cần sự cho phép để mở quá trình này để có được một tay cầm.
• Mặc dù không gian bộ nhớ ảo của quy trình 32 bit có kích thước từ 2 đến 4 GB (tùy thuộc vào hệ điều hành máy chủ và/3GB), phần lớn dải địa chỉ này sẽ không được cấp phát và đọc nó sẽ gây ra lỗi trang. Bạn thực sự cần phải tìm ra những trang được phân bổ và cho những gì để tránh rất nhiều truy cập trang không hợp lệ.

Gợi ý:

• Bạn có thực sự thực sự cần phải làm điều này? Nghiêm túc điều này sẽ khó khăn.
• Cân nhắc thực hiện một ứng dụng gốc, điều này sẽ tránh làm việc trên hàng rào gốc/được quản lý (điều này có thể bao gồm thư viện gốc với ứng dụng trình điều khiển được quản lý).
• Bạn có thực sự cần thực hiện việc này không?
• Cân nhắc thực hiện công việc trong quá trình nhắm mục tiêu. Điều này sẽ yêu cầu một số thông minh (tài liệu) để tiêm một sợi, nhưng sau đó sẽ nhanh hơn nhiều.
• Bắt đầu bằng cách đọc trên Windows cách bộ nhớ xử lý hoạt động (bắt đầu với Windows Internals và (không thể nhớ tên của nó trong ấn bản mới nhất) sách của Jeffrey Richter về phát triển ứng dụng Win32. phải có một cái gì đó đơn giản hơn ... bạn có thể tự động một debugger

Answer 2

Nếu có thể, tôi không nghĩ vậy. Và tôi thực sự hy vọng không phải vì đó sẽ là một rủi ro an ninh nghiêm trọng.

Answer 3

Tôi đoán bạn có thể sử dụng lệnh gọi ReadProcessMemory Windows API. Thậm chí còn có một premade P/Invoke signature cho nó, do đó bạn không cần phải bận tâm với việc tạo thủ công nó. Bạn trang qua bộ nhớ của quá trình, tìm kiếm thông qua nó cho mô hình của bạn và bạn đã hoàn tất.

Answer 4

điều này có thể giúp bạn tìm được đúng cách:?

private static int GetMemoryAddressOfString(byte[] searchedBytes, Process p) 
{ 
    //List<int> addrList = new List<int>(); 
    int addr = 0; 
    int speed = 1024*64; 
    for (int j = 0x400000; j < 0x7FFFFFFF; j+= speed) 
    { 
     ManagedWinapi.ProcessMemoryChunk mem = new ProcessMemoryChunk(p, (IntPtr)j, speed + searchedBytes.Length); 

     byte[] bigMem = mem.Read(); 

     for (int k = 0; k < bigMem.Length - searchedBytes.Length; k++) 
     { 
      bool found = true; 
      for (int l = 0; l < searchedBytes.Length; l++) 
      { 
       if(bigMem[k+l] != searchedBytes[l]) 
       { 
        found = false; 
        break; 
       } 
      } 
      if(found) 
      { 
       addr = k+j; 
       break; 
      } 
     } 
     if (addr != 0) 
     { 
      //addrList.Add(addr); 
      //addr = 0; 
      break; 
     } 
    } 
    //return addrList; 
    return addr; 
} 

Answer 5

bạn sẽ muốn sử dụng các API:

[DllImport("Kernel32.Dll")] 
    public static extern uint VirtualQueryEx(IntPtr ProcessHandle, uint Address, ref MEMORY_BASIC_INFORMATION MemInfo, int MemInfoLength); 
    [DllImport("Kernel32.Dll")] 
    public static extern bool ReadProcessMemory(IntPtr ProcessHandle, uint Address, byte[] Buffer, uint Size, ref uint BytesRead); 
    [DllImport("Kernel32.Dll")] 
    public static extern bool WriteProcessMemory(IntPtr ProcessHandle, uint Address, byte[] Buffer, uint Size, ref uint BytesRead); 

pinvoke.net là tài nguyên tuyệt vời cho các cuộc gọi API Windows. Tôi đã viết một huấn luyện viên cho GTA: Vice City sử dụng các cuộc gọi này nếu bạn muốn xem code trên sourceforge. Đoạn mã này không đẹp lắm, đã lâu lắm rồi và tôi chỉ ném nó lại với nhau, nhưng có những lớp trợ giúp để liệt kê các vùng bộ nhớ cho một tiến trình và tìm kiếm các byte hoặc chuỗi nhất định.

Answer 6

Có thể thực hiện trong C# không? Everithing là có thể trong C# (hoặc bất kỳ languge khác), u chỉ cần fiind như thế nào;

cứng mã hóa ở đây:

using System; 
using System.Collections.Generic; 
using System.Linq; 
using System.Text; 
using System.Diagnostics; 
using System.Runtime.InteropServices; 

namespace ConsoleApplication1 
{ 
    class Program 
    { 
     [DllImport("kernel32.dll", SetLastError = true)] 
      static extern bool ReadProcessMemory(
      IntPtr hProcess, 
      IntPtr lpBaseAddress, 
      [Out] byte[] lpBuffer, 
      int dwSize, 
      out int lpNumberOfBytesRead 
     ); 

    [DllImport("kernel32.dll")] 
    public static extern IntPtr OpenProcess(int dwDesiredAccess, bool bInheritHandle, int dwProcessId); 

    [DllImport("kernel32.dll", SetLastError = true)] 
    [return: MarshalAs(UnmanagedType.Bool)] 
    static extern bool CloseHandle(IntPtr hObject); 
    static void Main(string[] args) 
    { 
     Process[] procs = Process.GetProcessesByName("explorer"); 
     if (procs.Length <= 0) //proces not found 
      return; //can replace with exit nag(message)+exit; 
     IntPtr p = OpenProcess(0x10 | 0x20, true, procs[0].Id); //0x10-read 0x20-write 

     uint PTR = 0x0; //begin of memory 
     byte[] bit2search1 = {0xEB ,0x20,0x68,0x21,0x27,0x65}; //your bit array until ?? 
     int k = 1; //numer of missing array (??) 
     byte[] bit2search2 = {0x21,0x64,0xA1};//your bit array after ?? 
     byte[] buff = new byte[bit2search1.Length+1+bit2search2.Length]; //your array lenght; 
     int bytesReaded; 
     bool finded = false; 

     while (PTR != 0xFF000000) //end of memory // u can specify to read less if u know he does not fill it all 
     { 
      ReadProcessMemory(p, (IntPtr)PTR, buff, buff.Length, out bytesReaded); 
      if (SpecialByteCompare(buff, bit2search1,bit2search2,k)) 
      { 
       //do your stuff 
       finded = true; 
       break; 
      } 
      PTR += 0x1; 
     } 
     if (!finded) 
      Console.WriteLine("sry no byte array found"); 
    } 

    private static bool SpecialByteCompare(byte[] b1, byte[] b2, byte[] b3, int k) //readed memory, first byte array, second byte array, number of missing byte's 
    { 
     if (b1.Length != (b2.Length + k + b3.Length)) 
      return false; 
     for (int i = 0; i < b2.Length; i++) 
     { 
      if (b1[i] != b2[i]) 
       return false; 
     } 

     for (int i = 0; i < b3.Length; i++) 
     { 
      if (b1[b2.Length + k + i] != b3[i]) 
       return false; 
     } 
     return true; 
    } 
} 

}