Чтение всей памяти процесса для поиска адреса строковой переменной С#

У меня есть 2 программы, написанные на С#, первая из которых называется «ScanMe», содержит строковую переменную со значением «FINDMEEEEEEE» и двойную переменную со значением 1546.22915487. А другая программа под названием "MemoryScan" считывает всю память первой программы. Я хочу получить адрес памяти строковой переменной этого процесса

Когда я запускаю «MemoryScan» и считываю всю память процесса «ScanMe», я пытаюсь найти массив байтов строки во всех отсканированных данных и ничего не получаю. Если я пытаюсь найти двойник, я получаю конкретный адрес памяти, а также могу изменить его значение, но когда я пытаюсь сделать это со строковой переменной, я не могу, потому что я даже не получаю адрес этой строковой переменной.

Код ScanMe и MemoryScan:

class Program
{
    public static string FindMeString = "FINDMEEEEEEE";
    public static double FindMeDouble = 1546.22915487;
    static void Main(string[] args)
    {
        while (FindMeDouble == 1546.22915487)
        {
            System.Threading.Thread.Sleep(2000);
        }
        Console.WriteLine(FindMeDouble.ToString());
        Console.ReadLine();
    }
}

using System;
using System.Collections.Generic;
using System.Runtime.InteropServices;

namespace MemoryScan
{
class MemoryController
{

    // REQUIRED CONSTS
    const int PROCESS_QUERY_INFORMATION = 0x0400;
    const int MEM_COMMIT = 0x00001000;
    const int PAGE_READWRITE = 0x04;
    const int PROCESS_WM_READ = 0x0010;
    readonly Dictionary<IntPtr, byte[]> Regions = new Dictionary<IntPtr, byte[]>();
    readonly List<SearchResult> _results = new List<SearchResult>();

    // REQUIRED METHODS
    [DllImport("kernel32.dll")]
    public static extern IntPtr OpenProcess(int dwDesiredAccess, bool bInheritHandle, int dwProcessId);

    [DllImport("kernel32.dll")]
    public static extern bool ReadProcessMemory(IntPtr hProcess, IntPtr lpBaseAddress, byte[] lpBuffer, uint dwSize, ref int lpNumberOfBytesRead);

    [DllImport("kernel32.dll")]
    static extern void GetSystemInfo(out SystemInfo lpSystemInfo);

    [DllImport("kernel32.dll", SetLastError = true)]
    static extern int VirtualQueryEx(IntPtr hProcess, IntPtr lpAddress, out MEMORY_BASIC_INFORMATION lpBuffer, int dwLength);

    public enum ProcessorArchitecture
    {
        X86 = 0,
        X64 = 9,
        Arm = -1,
        Itanium = 6,
        Unknown = 0xFFFF
    }

    // REQUIRED STRUCTS
    [StructLayout(LayoutKind.Sequential)]
    public struct SystemInfo
    {
        public ProcessorArchitecture ProcessorArchitecture;
        public uint PageSize;
        public IntPtr MinimumApplicationAddress;
        public IntPtr MaximumApplicationAddress;
        public IntPtr ActiveProcessorMask;
        public uint NumberOfProcessors;
        public uint ProcessorType;
        public uint AllocationGranularity;
        public ushort ProcessorLevel;
        public ushort ProcessorRevision;
    }

    [StructLayout(LayoutKind.Sequential)]
    public struct MEMORY_BASIC_INFORMATION
    {
        public IntPtr BaseAddress;
        public IntPtr AllocationBase;
        public uint AllocationProtect;
        public IntPtr RegionSize;
        public uint State;
        public uint Protect;
        public uint Type;
    }

    public void FindProcessMemory(int processId)
    {
        // getting minimum & maximum address
        SystemInfo sys_info;
        GetSystemInfo(out sys_info);

        uint max_Address = (uint)sys_info.MaximumApplicationAddress;
        // opening the process with desired access level
        IntPtr processHandle = OpenProcess(PROCESS_QUERY_INFORMATION | PROCESS_WM_READ, false, processId);
        IntPtr current = IntPtr.Zero;

        int bytesRead = 0;  // number of bytes read with ReadProcessMemory
        int dwLength = Marshal.SizeOf(typeof(MEMORY_BASIC_INFORMATION));

        while ((uint)current < max_Address && VirtualQueryEx(processHandle, current, out MEMORY_BASIC_INFORMATION mem_basic_info, dwLength) != 0)
        {
            // if this memory chunk is accessible
            if (mem_basic_info.Protect == PAGE_READWRITE && mem_basic_info.State == MEM_COMMIT)
            {
                byte[] buffer = new byte[(int)mem_basic_info.RegionSize];

                // read everything in the buffer above
                if (ReadProcessMemory(processHandle, mem_basic_info.BaseAddress, buffer, (uint)mem_basic_info.RegionSize, ref bytesRead))
                {
                    Regions.Add(mem_basic_info.BaseAddress, buffer);
                }
                else
                    Console.WriteLine($"Error code: Marshal.GetLastWin32Error()");
            }

            // move to the next memory chunk
            current = IntPtr.Add(mem_basic_info.BaseAddress, mem_basic_info.RegionSize.ToInt32());
        }
        byte[] data = System.Text.Encoding.Unicode.GetBytes("FINDMEEEEEEE");
        foreach (IntPtr address in Regions.Keys)
        {
            foreach (int i in ByteSearch.AllIndexOf(Regions[address], data))
                _results.Add(new SearchResult(IntPtr.Add(address, i), data));
        }
        Console.ReadLine();
    }

}
public static class ByteSearch
{
    static int[] createTable(byte[] pattern)
    {
        int[] table = new int[256];

        for (int i = 0; i < table.Length; i++)
            table[i] = pattern.Length;

        for (int i = 0; i < pattern.Length - 1; i++)
            table[Convert.ToInt32(pattern[i])] = pattern.Length - i - 1;

        return table;
    }

    public static bool matchAtOffset(byte[] toSearch, byte[] pattern, int index)
    {
        if (index + pattern.Length > toSearch.Length)
            return false;

        for (int i = 0; i < pattern.Length; i++)
        {
            if (toSearch[i + index] != pattern[i])
                return false;
        }

        return true;
    }

    public static bool Contains(byte[] toSearch, byte[] pattern)
    {
        return FirstIndexOf(toSearch, pattern) != -1;
    }

    public static int FirstIndexOf(byte[] toSearch, byte[] pattern)
    {
        int[] table = createTable(pattern);
        int position = pattern.Length - 1;

        while (position < toSearch.Length)
        {
            int i;

            for (i = 0; i < pattern.Length; i++)
            {
                if (pattern[pattern.Length - 1 - i] != toSearch[position - i])
                    break;

                if (i == pattern.Length - 1)
                    return position - i;
            }

            position += table[Convert.ToInt32(toSearch[position - i])];
        }

        return -1;
    }

    public static int LastIndexOf(byte[] toSearch, byte[] pattern)
    {
        int ret = -1;
        int[] table = createTable(pattern);
        int position = pattern.Length - 1;

        while (position < toSearch.Length)
        {
            int i;
            bool found = false;

            for (i = 0; i < pattern.Length; i++)
            {
                if (pattern[pattern.Length - 1 - i] != toSearch[position - i])
                    break;

                if (i == pattern.Length - 1)
                {
                    ret = position - i;
                    found = true;
                }
            }

            if (found)
                position++;
            else
                position += table[Convert.ToInt32(toSearch[position - i])];
        }

        return ret;
    }

    public static int[] AllIndexOf(byte[] toSearch, byte[] pattern)
    {
        List<int> indices = new List<int>();
        int[] table = createTable(pattern);
        int position = pattern.Length - 1;

        while (position < toSearch.Length)
        {
            int i;
            bool found = false;

            for (i = 0; i < pattern.Length; i++)
            {
                if (pattern[pattern.Length - 1 - i] != toSearch[position - i])
                    break;

                if (i == pattern.Length - 1)
                {
                    indices.Add(position - i);
                    found = true;
                }
            }

            if (found)
                position++;
            else
                position += table[Convert.ToInt32(toSearch[position - i])];
        }

        return indices.ToArray();
    }
}
public class SearchResult
{
    public SearchResult(IntPtr add, byte[] value)
    {
        Address = add;
        Buffer = value;
    }

    public IntPtr Address { get; set; }

    public byte[] Buffer { get; set; }
}

}

Почему я не могу найти строку, и когда я пытаюсь найти двойник, я нахожу его без проблем, и даже я могу изменить его значение с помощью extern writeprocessmemory? Спасибо.


person Susta250    schedule 29.08.2019    source источник
comment
Возможно, более подходящим будет ClrMD.   -  person Kalten    schedule 29.08.2019
comment
findmstring и findmedouble можно оптимизировать до констант, попробуйте инициализировать оба пустыми и установить искомое в цикле   -  person Bacon    schedule 29.08.2019
comment
Я не помню навскидку, как в CLR таблица строк разложена в памяти, но я замечаю, что вы смотрите только на страницы, доступные для записи. Может ли это быть на странице только для чтения?   -  person Eric Lippert    schedule 29.08.2019
comment
Какова реализация ByteSearch.AllIndexOf()? В противном случае я согласен с Эриком: строка может быть в сегменте данных DLL. Почему вы используете такой сложный метод для получения байтов строки, а не просто Encoding.Unicode.GetBytes(s)? Мне потребовалась минута, чтобы убедиться, что он дает тот же результат.   -  person Thomas Weller    schedule 30.08.2019
comment
Обратите также внимание, что в вашем вопросе говорится, что вы ищете адрес строковой переменной, но ваша программа даже не пытается найти эту переменную. Он находит внутренние данные объекта, на который ссылается переменная, которая совершенно другая.   -  person Eric Lippert    schedule 30.08.2019
comment
@EricLippert: даже не это. Он найдет адрес строковых данных. Строковый объект будет сначала иметь таблицу методов, затем длину, а затем строковые данные. Тем не менее, я думаю, это то, что он хочет в случае реализации приложения-тренера ;-)   -  person Thomas Weller    schedule 30.08.2019
comment
Не могли бы вы предоставить минимально воспроизводимый пример? В настоящее время его трудно воспроизвести, так как отсутствуют классы, методы и операторы импорта.   -  person Thomas Weller    schedule 30.08.2019
comment
Я собираюсь отредактировать и вставить полный код программы MemoryScan, я думаю, нет необходимости добавлять код Scanme, нет? если не дайте знать.   -  person Susta250    schedule 30.08.2019


Ответы (1)


Я не уверен, что смогу точно воспроизвести ваше условие, поскольку вы не предоставили минимальный воспроизводимый пример. Тем не менее, я получил его и работает - с аналогичными результатами. Тогда я понял следующее:

Вы не проверяете возвращаемое значение ReadProcessMemory. сообщает MSDN

Если функция завершается ошибкой, возвращаемое значение равно 0 (ноль). Чтобы получить расширенную информацию об ошибке, вызовите GetLastError.

0 будет сопоставлен с false, в зависимости от используемой подписи PInvoke.

Чтобы получить последнюю ошибку, используйте Marshal.GetLastWin32Error(). На моем ПК код ошибки был 299 и MSDN говорит

ОШИБКА_PARTIAL_COPY

299 (0x12B)

Выполнена только часть запроса ReadProcessMemory или WriteProcessMemory.

В то же время количество прочитанных байтов (ref bytesRead) равно 0, поэтому он не читал память процесса.

См. этот связанный вопрос SO об этой ошибке код.

person Thomas Weller    schedule 29.08.2019
comment
Я добавляю `if (ReadProcessMemory(processHandle, mem_basic_info.BaseAddress, buffer, (uint)mem_basic_info.RegionSize, ref bytesRead)) { Regions.Add(mem_basic_info.BaseAddress, buffer); } else Console.WriteLine($Код ошибки: Marshal.GetLastWin32Error()); ` И он никогда не переходит к другому, он всегда возвращает true readprocessmemory, также я меняю: ` byte[] data = System.Text.Encoding.Unicode.GetBytes(FINDMEEEEEEE);` - person Susta250; 30.08.2019
comment
@ Susta250: Я вижу, вы обновили вопрос. Я еще раз посмотрю на ваш новый код. - person Thomas Weller; 31.08.2019