windows 编程ReadProcessMemory 使用中遇到的问题解决

最新推荐文章于 2024-04-04 21:02:40 发布

原创

最新推荐文章于 2024-04-04 21:02:40 发布 · 1w 阅读

4 ·

CC 4.0 BY-SA版权

文章标签：

#windows驱动开发

本文详细介绍了在Windows编程中使用ReadProcessMemory函数时遇到的问题及解决方法，特别是强调了确保对内存地址具有读取权限的重要性。通过设置内存保护属性并进行读取，然后还原权限，成功读取到指定地址的数据。内容引用了多个技术资源作为参考。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

本次锻炼的本来是对ReadProcessMemory 里边的NtReadVirtualMemory 进行反汇编，为了验证反汇编成功，需要先使用NtReadVirtualMemory 的上层函数ReadProcessMemory去看看功能效果，ReadProcessMemory这个函数的声明是：

BOOL WINAPI ReadProcessMemory(
  _In_   HANDLE hProcess,
  _In_   LPCVOID lpBaseAddress,
  _Out_  LPVOID lpBuffer,
  _In_   SIZE_T nSize,
  _Out_  SIZE_T *lpNumberOfBytesRead
);

它的作用是将hProcess句柄所指向的线程里边部分内存数据读到我们自己临时创建的空间中（比如数组内存），而使用的时候调用是这样的：

ReadProcessMemory(appHandle, (LPVOID)address, (LPVOID) &buffer, buffersize, 0);

MSDN上的解释是：

hProcess [in]

A handle to the process with memory that is being read. The handle must have PROCESS_VM_READ access to the process.

lpBaseAddress [in]

A pointer to the base address in the specified process from which to read. Before any data transfer occurs, the system verifies that all data in the base