C# ReadProcessMemory 替代方案

Question

我试图在某个进程上 ReadProcessMemory 但它使用 ObRegisterCallbacks 来防止另一个进程在其上创建句柄(OpenProcess ).我听说有人在没有 ReadProcessMemory 或 OpenProcess 的情况下使用 C# 创建自己的内存读取实用程序。如果有人能告诉我如何创建这样一个很棒的库(或者我是否可以链接到现有库)。

这是严格的读内存，我不需要将内存写入进程

Answer 1

ReadProcessMemory 和 OpenProcess 是官方 Windows API 的一部分。这些实际上调用了其他操作系统函数，例如 ZwReadVirtualMemory/NtReadVirtualMemory 和 ZwOpenProcess/NtOpenProcess。问题是这些功能只能由驱动程序访问。但是，您可以创建软件驱动程序(通过在 Visual Studio 中创建内核模式驱动程序 (KMDF) 或 Windows 驱动程序模型 (WDM))。缺点是这全是 C++，而且很困难。

您可能想要研究一个名为 WhiteMagic 的开源 C# 库。这会将 DLL 注入(inject)到进程中，并允许从应用程序本身内部读取/写入内存。这使用 OpenProcess 来注入(inject) DLL，但是可以用替代方法替换注入(inject)方法，例如:https://github.com/dwendt/UniversalInject .