powershell - 如何在 Go 中使用 VirtualQueryEx 读取检索进程内存信息？

Question

我正在尝试将 PSHunt ( https://github.com/Infocyte/PSHunt/blob/master/Surveys/Survey.ps1 ) 的特定功能移植到 Go。具体来说，我正在尝试使用 VirtualQueryEx 遍历进程内存的页面，如以下 Powershell 片段所示:

# Get handle to the process
$hProcess = $Kernel32::OpenProcess(0x400, $False, $ProcessID) # PROCESS_QUERY_INFORMATION (0x00000400)

if (-not $hProcess) {
    throw "Unable to get a process handle for process ID: $ProcessID"
}

$MemoryInfo = New-Object $MEMORY_BASIC_INFORMATION
$BytesRead = $Kernel32::VirtualQueryEx($hProcess, $ModuleBaseAddress, [Ref] $MemoryInfo, $PageSize)

$null = $Kernel32::CloseHandle($hProcess)

请注意，上面的代码是通过以下代码从不同的函数调用的:$MemoryInfo = Get-VirtualMemoryInfo -ProcessID $ProcessID -ModuleBaseAddress ([IntPtr]::Zero) -PageSize $SysInfo.PageSize

我在 Go 中的实现如下所示:

var systemInfo SYSTEM_INFO
getSystemInfo := 
kernel32dll.NewProc("GetSystemInfo")
_, _, err = getSystemInfo.Call(uintptr(unsafe.Pointer(&systemInfo)))

openProcess := kernel32dll.NewProc("OpenProcess")
hProcess, _, err := openProcess.Call(uintptr(0x410), uintptr(0), uintptr(processId))
fmt.Println("Message from OpenProcess:",err.Error())
defer windows.CloseHandle(windows.Handle(hProcess))

var memoryBasicInformation MEMORY_BASIC_INFORMATION
dll := syscall.MustLoadDLL("kernel32.dll")
defer dll.Release()

virtualQueryEx := dll.MustFindProc("VirtualQueryEx")

bytesRead, _, err := virtualQueryEx.Call((uintptr)(unsafe.Pointer(hProcess)), (uintptr)(unsafe.Pointer(????)), (uintptr)(unsafe.Pointer(&memoryBasicInformation)), (uintptr)(unsafe.Pointer(&systemInfo.PageSize)))
fmt.Println("Bytes read:",bytesRead)
fmt.Println("Message from VirtualQueryEx:", err.Error())

无论我做什么，VirtualQueryEx 都会返回“对内存位置的无效访问”。我无法弄清楚要传递什么值作为进程的基地址(由上面的“????”表示)。 Microsoft 文档说此参数是可选的，但如果我将其留空，则会收到有关命令长度不正确的错误。

正如我提到的，我的目标是从流程的底部开始并通过循环扫描整个过程，这将在首次调用 VirtualQueryEx 之后发生。

作为引用，我正在使用 go 系统调用库(在这种情况下；尽管我也尝试过 sys/windows 库但无济于事。)

如果我能澄清任何事情，请告诉我。

Answer 1

每个进程都有自己的地址空间。如果访问不属于它的内存地址，则可能导致“对内存位置的无效访问”。

my goal is to start at the base of the process and scan through the entire thing via a loop

首先，设置“lpAddress”(我的意思是“????”)从零开始。(通常你会得到进程基地址和零地址之间的偏移量)

然后，检查memoryBasicInformation.AllocationProtect和memoryBasicInformation.Protect的值，判断是否有访问权限。

用

在循环中迭代“lpAddress”

lpAddress = memoryBasicInformation.BaseAddress + memoryBasicInformation.RegionSize

然后继续使用VirtualQueryEx()。当 lpAddress 指定的地址高于进程可访问的最高内存地址时，该函数将失败并显示 ERROR_INVALID_PARAMETER，并中断循环。