- r - 以节省内存的方式增长 data.frame
- ruby-on-rails - ruby/ruby on rails 内存泄漏检测
- android - 无法解析导入android.support.v7.app
- UNIX 域套接字与共享内存(映射文件)
我正在尝试使用 Go 语言在 Windows 上操作进程,我开始使用 ReadProcessMemory
读取其他进程的内存。
但是,对于大多数地址,我得到了 Error: Only part of a ReadProcessMemory or WriteProcessMemory request was completed.
错误。也许我的参数列表是错误的,但我找不到原因。
谁能指出我在这里做错了什么?
package main
import (
"fmt"
)
import (
windows "golang.org/x/sys/windows"
)
func main() {
handle, _ := windows.OpenProcess(0x0010, false, 6100) // 0x0010 PROCESS_VM_READ, PID 6100
procReadProcessMemory := windows.MustLoadDLL("kernel32.dll").MustFindProc("ReadProcessMemory")
var data uint = 0
var length uint = 0
for i := 0; i < 0xffffffff; i += 2 {
fmt.Printf("0x%x\n", i)
// BOOL ReadProcessMemory(HANDLE hProcess, LPCVOID lpBaseAddress, LPVOID lpBuffer, DWORD nSize, LPDWORD lpNumberOfBytesRead)
ret, _, e := procReadProcessMemory.Call(uintptr(handle), uintptr(i), uintptr(data), 2, uintptr(length)) // read 2 bytes
if (ret == 0) {
fmt.Println(" Error:", e)
} else {
fmt.Println(" Length:", length)
fmt.Println(" Data:", data)
}
}
windows.CloseHandle(handle)
}
最佳答案
uintptr(data)
不正确:它从 data
(uint
类型的 0)获取值并将其转换为 unitptr
类型——产生转换为另一种类型的相同值——在 x86 上产生一个空指针。
请注意,Go 不是 C 语言,您不能真正玩带有指针的肮脏游戏,或者更确切地说,您可以,但只能通过使用 unsafe
内置包及其Pointer
类型,类似于 C 中的 void*
(指向数据内存块中的某处)。
你需要的是类似的东西
import "unsafe"
var (
data [2]byte
length uint32
)
ret, _, e := procReadProcessMemory.Call(uintptr(handle), uintptr(i),
uintptr(unsafe.Pointer(&data[0])),
2, uintptr(unsafe.Pointer(&length))) // read 2 bytes
观察这里做了什么:
unsafe.Pointer
类型;uintptr
。需要最后两个步骤,因为 Go 具有垃圾收集功能:
unsafe.Pointer
使该地址值丢失其维护的类型信息,新值仍会被 GC 考虑并且表现得像包含以下内容的“正常”值地址——如上所述。通过将此类值类型转换为 uintptr
,您可以让 GC 停止将其视为指针。因此,这种类型仅适用于 FFI/interop。
换句话说,在
var data [2]byte
a := &data[0]
p := unsafe.Pointer(a)
i := uintptr(p)
data
中只有三个对值的引用:变量本身、a
和 p
,但不是 i
.
在处理调用外部代码时,您应该考虑这些规则,因为您永远不应该传递 unitptr
类型的值:它们仅用于将数据编码到被调用函数并将其解编回,并且必须“当场”使用——在与它们类型转换的值相同的范围内。
另外请注意,在 Go 中,您不能只获取整数类型变量的地址并将该地址提供给需要指向适当大小的内存块的指针的函数。您必须处理字节数组,并且在被调用函数写入数据后,您需要将其显式转换为所需类型的值。这就是为什么 Go 中没有“类型转换”而只有“类型转换”:你不能通过类型转换重新解释值的数据类型,使用 uintptr(unsafe.Pointer )
(和后面)对于 FFI/interop 来说是一个值得注意的异常(exception),即使在这种情况下,您基本上将指针转换为指针,只需通过 GC 边界传输它即可。
要“序列化”和“反序列化”整数类型的值,您可以使用 encoding/binary
标准包或手动简单的简单函数,可以进行位移和 或
-s 等等 ;-)
2015-10-05,根据 James Henstridge 的建议更新。
请注意,在函数返回后,ret
表示没有错误您必须检查 length
变量的值。
关于go - Go中调用kernel32的ReadProcessMemory,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/32901078/
我正在尝试在进程的内存中搜索以空字符结尾的字符串的所有实例。我用 VirtualQueryEx 枚举了所有分配的内存区域,然后我用 ReadProcessMemory 将它们读取到一个字节数组并使用这
我试图在某个进程上 ReadProcessMemory 但它使用 ObRegisterCallbacks 来防止另一个进程在其上创建句柄(OpenProcess ).我听说有人在没有 ReadProc
这是一个有趣的问题: 我正在使用 ReadProcessMemory(在 C# 中)编写一个简单的调试器程序。我需要遍历目标进程的整个内存空间以找到特定的字节串(FWIW,我正在使用 Boyer-Mo
当使用 ReadProcessMemory 读取可执行文件的内存时,我得到的前两个字节是颠倒的。代码是: SIZE_T dataRead; PIMAGE_DOS_HEADER dosHeader =
在所有示例中,我看到第三个参数或 buffer 是一个整数,但我不太确定这个值应该代表什么,或者它有什么用,所以我尝试了一个 char 数组并得到随机垃圾所以我很好奇这个值可以用于什么以及放入它的最佳
关闭。这个问题不符合Stack Overflow guidelines .它目前不接受答案。 关于您编写的代码问题的问题必须在问题本身中描述具体问题 — 并且包括有效代码 以重现它。参见 SSC
我正在尝试使用 ReadProcessMemory 将动态数量的字节读入数组,然后将其返回。我根本无法让它正常工作。我当前的代码是... byte *Application::readMemory(D
好的,你们这些 ctypes 大师们... 我有一个 python 脚本,它每秒读取内存地址一百次。存储在该内存地址的值代表一个无符号整数。该值随时间增加。不幸的是,当它经过 2^8、2^16 或 2
我正在制作一个应用程序,该应用程序将根据变量的值使用鼠标/键盘(宏)模拟操作。 这里有我制作的 de 扫描代码: void ReadMemory(int value){ DWORD p
我正在尝试读取该方法的返回地址,但读取的是另一个内存。所以我得到了帧指针,并读取了返回值的值。据我所知,我应该得到一个等于 m_stackframe.AddrReturn.Offset 的值,但是:
我正在尝试扫描整个进程内存,但没有成功...我正在做的是:对于我使用记事本的测试,所以我在那里写 %B 和这个值十六进制为:25(%) 和 42(B)。所以代码是: while (VirtualQ
我目前正在编写一个使用 ReadProcessMemory 的程序将一 block 内存作为文本保存到文件中。在程序中,用户将指定内存块的基地址和大小。输入验证在调用 ReadProcessMemor
我最近开始尝试使用 Cheat Engine 进行一些实验,以便能够从正在运行的进程的内存中读取数据,并偶然发现了本教程的第 8 步。我想从存储在 [[[[0x00645390]+0xC]+0x14]
使用 NtQueryInformationProcess ,可以通过读取返回的 PROCESS_BASIC_INFORMATION 类型结构中的 PebBaseAddress 字段来获取当前进程基地址
该程序使用 ReadProcessMemory 扫描内存块以查找特定值。不幸的是,当我调用 ReadProcessMemory 时,出现错误 299。 void update_memblock(MEM
我想知道,如果 WriteProcessMemory 或 ReadProcessMemory 函数访问程序代码或数据。谢谢。 最佳答案 它可以访问两者。 程序文本和数据存在于相同的地址空间中,并且对于
我想用 C# 获取 windows7(64 位)上的所有托盘图标,但是当我使用 windows api“ReadProcessMemory”时,无法识别托盘按钮文本。下面的代码 Int
我目前正在使用 KMDF 编写内核模式驱动程序(软件驱动程序),因为我对这个主题很陌生,所以我想问你我的驱动程序是否能够在任何正在运行的进程上调用 OpenProcess 和 ReadProcessM
我想读取与特定进程关联的所有内存。我知道 ReadProcessMemory,但由于我没有使用它的经验,而且我担心我只会得到一堆垃圾(垃圾...)。 a) 我如何算出,从基指针到末尾) 我可以读取的总
我使用 WINAPI 函数 ReadProcessMemory 从进程(地址:0x58F03C)读取一些数据: DWORD proc_id; GetWindowThreadProcessId(hwnd
我是一名优秀的程序员,十分优秀!