c# - 使这个 Readprocessmemory 代码更有效率

Question

简介

目前我正在使用某人的类来读取内存中的字节(通过指针)。到目前为止我的代码运行完美，如果可能的话我真的不想改变类的设置方式(因为它有效)，但希望可以对类和我的代码进行一些小的调整以使其高效.

我目前取得的成就:

• 从内存中的指针地址开始，读取该地址的一个字节，将数据添加到数组中，将原始地址加 1，以便我们现在可以读取下一个地址(例如原始地址是 24004，存储字节后，递增 1，下一个要读取的地址变为 24005)。

• 读取下一个地址 (24005) 的字节，将其添加到同一个数组，向该地址加 1(下一个读取变为 24006)。

• 以此类推进行固定次数的迭代(大约 10,000 次)。

问题:

一个接一个调用 readprocessmemory 的 10,000 次会导致系统延迟 20 秒，同时处理其业务。

我希望能实现的:

只执行一次 Readprocessmemory，指定要读取 10,000 个字节的数据(而不是每次只读取一个字节进行 10,000 次迭代)，以与我之前使用单个字节时相同的格式将其保存到数组中(我知道因此，而不是数组 {0} (1) (2).. 等等。我现在只有数组 {0}，所以我想我需要一种有效的方法将这个非常大的数字分成 10,000 个数字(在另一个数组中))每个地址存储的数据都是整数。因此对于 5 个地址:数组 {12345} 变为 {1}{2}{3}{4}{5}。例如，1 2 3 4 或 5 也可以是 1 200 40 43 或 20。

理想情况下，如果我可以挥动我的新手魔杖，它会看起来像这样(下面的类(class)以及我目前拥有的):

迭代代码:

 private void label1_Click(object sender, EventArgs e)
    {
        int[] valuesSeperated[200];
        List<byte> PreArray = new List<byte>();
        Process[] test = Process.GetProcessesByName("MyProcess"); //Get process handle 
        int baseAddress = test[0].MainModule.BaseAddress.ToInt32(); //Get base address
        byte ReadX  = MyClass.ReadPointerByte("MyProcess", BaseAddress, new int[] { 0xc, 0x0, 0x2 }); //call memory reading function (including memory offsets)
        PreArray.Add(ReadX);
                byte[] PreArrayToInt = PreArray.ToArray();
                int[] MYConvertedBytes = PreArray ToInt.Select(x => (int)x).ToArray();
                foreach (int i in MYConvertedBytes)
{
valuesSeperated // (don't really know what to do here, if the read was successful I would have a long number at [0], so now need to separate these as if I had read each one in memory one at a time. 
}

//new array with 10,000 values created.
    }

类:

[DllImport("kernel32", EntryPoint = "ReadProcessMemory")]
private static extern byte ReadProcessMemoryByte(int Handle, int Address, ref byte Value, int Size, ref int BytesRead);

public static byte ReadPointerByte(string EXENAME, int Pointer, int[] Offset)
{
    byte Value = 0;
    checked
    {
        try
        {
            Process[] Proc = Process.GetProcessesByName(EXENAME);
            if (Proc.Length != 0)
            {
                int Bytes = 0;
                int Handle = OpenProcess(PROCESS_ALL_ACCESS, 0, Proc[0].Id);
                if (Handle != 0)
                {
                    foreach (int i in Offset)
                    {
                        ReadProcessMemoryInteger((int)Handle, Pointer, ref Pointer, 4, ref Bytes);
                        Pointer += i;
                    }
                    ReadProcessMemoryByte((int)Handle, Pointer, ref Value, 2, ref Bytes);
                    CloseHandle(Handle);
                }
            }
        }
        catch
        { }
    }
    return Value;
}

Answer 1

一些建议:

• 不要在您的“托管包装器”(ReadPointerByte 或其他...)中调用 OpenProcess/CloseHandle，您可以使用 Process.Handle属性(property)。

• 为避免与页面权限相关的可能错误，您可能需要使用 VirtualProtectEx 包装对 ReadProcessMemory 的调用。 (一个“取消保护”，允许读取，另一个“恢复”之前的保护)。

部分代码:

// from http://www.pinvoke.net/default.aspx/kernel32.readprocessmemory
[DllImport("kernel32", EntryPoint = "ReadProcessMemory")]
private static extern bool ReadProcessMemory(IntPtr Handle, IntPtr Address, 
    [Out] byte[] Arr, int Size, out int BytesRead);

public static byte[] ReadBytes(IntPtr hnd, IntPtr Pointer, int Length)
{
    byte[] Arr = new byte[Length];
    int Bytes = 0;
    if(!ReadProcessMemory(hnd, Pointer, Arr, Length, out Bytes)){
        // Throw exception ...
    }
    // Check if Bytes == Length ...
    return Arr;
}

private void button1_Click(object sender, EventArgs e)
{
    //Get process handle
    Process[] test = Process.GetProcessesByName("notepad++");  

    //Get base address
    IntPtr baseAddress = test[0].MainModule.BaseAddress; 

    int bytesToRead = 16;
    int[] valuesSeparated = new int[bytesToRead / 4];
    byte[] ret = ReadBytes(test[0].Handle, baseAddress, bytesToRead);

    // Interpret ret as you like ...

    // Convert ret to int[]
    valuesSeparated = ....

}

[迭代过程]

这里有两个选择:

1. 获取目标进程内存的完整快照到一个字节[]，并在这个数组中执行你的算法
2. 您可以为每次迭代执行一个 readprocessmemory。我相信这是您的最佳选择。

不管 targe-process-memory-reading-technique，你的算法是这样的(我真的很难将你的文本翻译成一个实现......):

输入:进程的BaseAddress，Offsets

输出: byte[] Ret

步骤:

1: LastPtr = BaseAddress
2: IdxOffset = 0
3: Offset = Offsets[IdxOffset]
4: LastValue = Memory[LastPtr + Offset]
5: Ret.Add(LastValue)
6: IdxOffset++
7: LastPtr = LastValue // Is this it?????
8: If IdxOffset < Offsets.Length then return else goto 3