0

我刚刚开始学习 Windows API，我想制作一个简单的程序来读取给定进程中的值。

这是我的代码

#include <stdio.h>
#include <Windows.h> 

void printError();

int main()
{
    int *buffer;

    // process input
    unsigned int pid = 0;
    printf("process ID : ");
    scanf("%d", &pid);
    getchar();
    HANDLE authorisation = OpenProcess(PROCESS_VM_READ, FALSE, pid);
    if(authorisation == NULL)
    {
        printf("OpenProcess Failed. GetLastError = %d", GetLastError());
        getchar();
        return EXIT_FAILURE;
    }   

    // adress memory input
    int *memoryAddress = 0x0;
    printf("memory address to read (in hexadecimal) : ");
    scanf("%p", &memoryAddress);
    getchar();
    printf("Reading from address : %p", memoryAddress);
    if(ReadProcessMemory(authorisation, (LPCVOID)memoryAddress, &buffer, 8, 
    NULL))
    {
        printf("\nptr2int = %p\n", buffer);
    }
    else
    {
        printError();    
    }

    int varInt = 0;
    // HERE IS THE PROBLEM
    // GetLastError return 6 : Invalid Handle 
    if(ReadProcessMemory(authorisation, (LPCVOID)buffer, &varInt, 
    sizeof(int), NULL))
    {
        printf("varInt = %d\n", varInt);
    }
    else
    {
        printError();
    }

    printf("Press ENTER to quit");
    getchar();

    return 0; 
}

void printError()
{
    printf("ReadProcessMemory Failed. GetLastError = %d", GetLastError());
    getchar();
    return EXIT_FAILURE;
}

但是，如果我为 RPM 的第二次调用创建一个新的句柄，它就可以完美地工作。

我在 MSDN 上读到：

OpenProcess 函数返回的句柄可用于任何需要进程句柄的函数”

我究竟做错了什么 ？

4

1 回答 1

1

你的问题是这样的：

int *buffer;
unsigned int pid = 0;

ReadProcessMemory(authorisation, (LPCVOID)memoryAddress, &buffer, 8, NULL);

假设缓冲区的地址是 0x0，pid 的地址是 0x4，因为您正在编译一个 32 位应用程序，并且指针是 4 个字节。当您调用 RPM 时，您硬编码了 8 个字节的大小，这会覆盖 pid 使其无效。你基本上是缓冲区溢出自己。

每当您使用 ReadProcessMemory() 时，您应该始终使用 sizeof(originalVariable) 作为字节数参数，这样您就不会遇到任何问题。

如果您打算经常访问其他进程的内存，则应遵循以下做法：

使用 uintptr_t 存储地址，然后编译您的应用程序以匹配目标进程的体系结构。为 x64 编译时为 8 个字节，而在 x86 上为 4 个字节。如果你愿意，你也可以制作自己的 typedef。

为目标进程的相同架构编译在很多方面都有帮助，您会在您的旅程中发现，有几个 WINAPI 的东西更容易以这种方式使用。你不必这样做，但我强烈推荐。

于 2018-08-27T04:28:48.240 回答