ToB企服应用市场:ToB评测及商务社交产业平台

标题: 7.7 实现进程内存读写 [打印本页]
作者: 干翻全岛蛙蛙    时间: 2023-10-3 02:58
标题: 7.7 实现进程内存读写
内存进程读写可以让我们访问其他进程的内存空间并读取或修改其中的数据。这种技术通常用于各种调试工具、进程监控工具和反作弊系统等场景。在Windows系统中，内存进程读写可以通过一些API函数来实现，如OpenProcess、ReadProcessMemory和WriteProcessMemory等。这些函数提供了一种通用的方式来访问其他进程的内存，并且可以用来读取或写入不同类型的数据，例如整数、字节集、浮点数等。
在开始编写内存读者功能之前我们先来实现一个获取特定进程内特定模块基址的功能，该功能的实现分为两部分首先我们封装一个GetProcessModuleHandle函数，该函数用户可传入一个进程PID以及需要获取的进程内的模块名，此时会通过循环的方式找到所需返回的模块并返回该模块的moduleEntry.hModule基址，由于使用了进程快照函数所以在使用时需要引入TlHelp32.h库。
  1. // 根据PID模块名（需要写后缀.dll）获取模块入口地址
  2. HMODULE GetProcessModuleHandle(DWORD pid, CONST TCHAR* moduleName)
  3. {
  4.   MODULEENTRY32 moduleEntry;
  5.   HANDLE handle = NULL;
  7.   // 获取进程快照中包含在th32ProcessID中指定的进程的所有的模块
  8.   handle = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, pid);
  9.   if (!handle)
  10.   {
  11.     CloseHandle(handle);
  12.     return NULL;
  13.   }
  14.   ZeroMemory(&moduleEntry, sizeof(MODULEENTRY32));
  15.   moduleEntry.dwSize = sizeof(MODULEENTRY32);
  16.   if (!Module32First(handle, &moduleEntry))
  17.   {
  18.     CloseHandle(handle);
  19.     return NULL;
  20.   }
  21.   do
  22.   {
  23.     if (_tcscmp(moduleEntry.szModule, moduleName) == 0)
  24.     {
  25.       return moduleEntry.hModule;
  26.     }
  27.   } while (Module32Next(handle, &moduleEntry));
  29.   CloseHandle(handle);
  30.   return 0;
  31. }
复制代码
有了上述读取模块基址的函数，接着就是要封装实现GetProcessModuleBase函数，该函数接收两个参数，分别是进程名以及模块名，并返回该模块在指定进程中的句柄。如果指定的模块名称不存在于所给进程的模块列表中，函数会返回NULL。
  1. // 返回ExeName进程中指定Dll的基址
  2. DWORD GetProcessModuleBase(string ExeName, string DllName)
  3. {
  4.   HANDLE hProcessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);  // 进程快照句柄
  5.   PROCESSENTRY32 process = { sizeof(PROCESSENTRY32) };                    // 存放进程快照的结构体
  7.   //  遍历进程
  8.   while (Process32Next(hProcessSnap, &process))
  9.   {
  10.     // 寻找ExeName指定进程 char* 转 string
  11.     string s_szExeFile = process.szExeFile;
  12.     if (s_szExeFile == ExeName)
  13.     {
  14.       HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, process.th32ProcessID);
  15.       if (hProcess != NULL)
  16.       {
  17.         // 寻找DllName并返回DWORD类型基址
  18.         return (DWORD)GetProcessModuleHandle(process.th32ProcessID, DllName.c_str());
  19.       }
  20.     }
  21.   }
  22.   return 0;
  23. }
复制代码
参数说明：
当有了上述两个模块的支持那么实现进程模块基址的读取将变得非常容易实现，如下是一段读取模块句柄的代码示例，在代码中我们分别读取了Tutorial-i386.exe自身模块基地址，以及该进程内user32.dll模块基址，需要注意的是运行该程序需要使用管理员身份。
[code]int main(int argc, char *argv[]){  // "Tutorial-i386.exe"+256650  DWORD DllBase = GetProcessModuleBase("Tutorial-i386.exe", "Tutorial-i386.exe");  if (DllBase != 0)  {    std::cout



欢迎光临 ToB企服应用市场:ToB评测及商务社交产业平台 (https://dis.qidao123.com/) Powered by Discuz! X3.4