Question

我正在尝试使用ReadProcessMemory() API函数读取控制台程序的进程内存。

www.un.org/Depts/DGACM/index_spanish.htm 增订法典:

    HWND hWnd = FindWindow(NULL, "Read Memory Window");
    DWORD ProcessId;
    ProcessId = GetProcessId(hWnd);
    GetWindowThreadProcessId(hWnd, &ProcessId);
    HANDLE hProcess = OpenProcess(PROCESS_VM_READ,FALSE, ProcessId);

    SIZE_T NumberOfBytesRead;
    CHAR Buffer[128] = {0};
    dwAddr = 0x0012FD6C; //address of array to get
    BOOL sucess = ReadProcessMemory(hProcess, &dwAddr, &Buffer, 128, &NumberOfBytesRead);

在运行该程序并读取数组的程序时，我会得到空值和垃圾值。

Answer 1

您正在使用固定地址，这通常是一个非常糟糕的想法，尤其是现在Windows Vista和Windows 7使用ASLR，即使是基于固定地址的模块也是不安全的（即使没有ASLR，也是不安全的，因为图像可以由于各种原因而被重新分配）。

此外，那个地址看起来非常可疑，你是怎么得出那个地址的？而且，它是否被正确地调整为虚拟地址，而不是相对地址？

最后但最重要的是，您不应该像您所做的那样传递地址和缓冲区，应该这样传递：

BOOL sucess = ReadProcessMem或者y(hProcess, (LPVOID)dwAddr, &Buffer[0], 128, &NumberOfBytesRead);

或者

BOOL sucess = ReadProcessMem或者y(hProcess, (LPVOID)dwAddr, Buffer, 128, &NumberOfBytesRead);

友情链接