如何获取进程使用的所有内存地址空间？答案

【问题标题】：How to get all memory address space used by a process?如何获取进程使用的所有内存地址空间？
【发布时间】：2011-09-08 17:02:27
【问题描述】：

我需要知道进程使用的所有内存地址空间。稍后将扫描内存空间以定位进程中的值并识别它们的位置/地址。我目前的处理是通过它的（基地址+内存大小）获取每个模块的基地址。

我在一个已知地址上具有已知值的进程上对此进行测试。当我查找该特定地址时，我得到了我期望的值。但是，当我扫描（我认为是）进程使用的所有地址空间时，我无法在任何地方找到该值。

我知道 0x0CF8DC38 和 0x0CF8DDDC 处存在一个数值“4143000”。当我调用 ReadMemoryBytes(module, module.BaseAddress, 4, (IntPtr)(0x0CF8DC38)) 时，我得到了字节（152、55、63、0）。当我调用 BitConverter.GetBytes(4143000) 时，我得到了相同的字节集。当我在该进程上使用不同的内存扫描器时，我会在这些地址上找到该值。

但是，当我扫描“已知地址”时，我在任何地方都找不到这个值。看起来我的代码甚至没有找到进程正在使用的那些地址。

因此，我的问题是双重的：

如何在此过程中找到这些地址？
我担心我可能正在处理系统内存中的绝对地址与进程中的相对地址。我这样做对吗？

// (in the calling method)
foreach (ProcessModule module in process.Modules) {
    ParameterizedThreadStart pst = new ParameterizedThreadStart(p => SearchModule(module, value));
    Thread t = new Thread(pst);
    t.Start(); }

private unsafe void SearchModule(ProcessModule module, string value)
{
Process process = getProcess;
int iVal;
double dVal;
int.TryParse(value, out iVal);
double.TryParse(value, out dVal);
for (Int64 addr = (Int64)module.BaseAddress; addr + value.Length < (Int64)module.BaseAddress + module.ModuleMemorySize; addr++)
{
    // Compare ints
    if (iVal > 0)
    {
        byte[] ExpectedBytes = BitConverter.GetBytes(iVal);
        byte[] ActualBytes = ReadMemoryBytes(module, (IntPtr)addr, (uint)ExpectedBytes.Length, (IntPtr)addr);

        bool isMatch = true;
        for (int i = 0; i < ExpectedBytes.Length; i++)
            if (ExpectedBytes[i] != ActualBytes[i])
                isMatch = false;
        if (isMatch)
            PossibleAddresses.Add((IntPtr)addr);
    }
}

private byte[] ReadMemoryBytes(ProcessModule mod, IntPtr memAddress, uint size, IntPtr BaseAddress)
{
    byte[] buffer = new byte[size];
    IntPtr bytesRead;
    unsafe
    {
        ReadProcessMemory(processPointer, BaseAddress, buffer, size, out bytesRead);
        return buffer;
    }
}

[DllImport("kernel32.dll")]
public static extern IntPtr OpenProcess(UInt32 dwDesiredAccess, Int32 bInheritHandle, UInt32 dwProcessId);
[DllImport("kernel32.dll")]
public static extern Int32 CloseHandle(IntPtr hObject);
[DllImport("kernel32.dll")]
public static extern Int32 ReadProcessMemory(IntPtr hProcess, IntPtr lpBaseAddress, [In, Out] byte[] buffer, UInt32 size, out IntPtr lpNumberOfBytesRead);

【问题讨论】：

您的错误假设是（来自 MSDN）：“ModuleMemorySize 不包括模块在运行后进行的任何额外内存分配；它仅包括模块中静态代码和数据的大小文件。”所以你的循环并不到处都是。您需要的是进程的整体内存映射，但我不确定如何在 C# 中做到这一点。 sysinternals VMMap 工具可以做到这一点，但没有可用的资源......（technet.microsoft.com/en-us/sysinternals/dd535533）

标签： c# memory interop intptr

【解决方案1】：

您获得的地址是指向托管 (CLR) 堆的指针。它们通常不会映射到绝对内存地址，并且它们可以在 GC 决定运行时从一个调用移动到另一个调用。

如果您使用“不安全”代码，您可以获得相对指针以及管理您自己的内存空间。它仍在堆上，但至少可以保证 GC 不会修改您的地址空间。

不要期望能够从非 CLR 代码访问堆上的东西而无需大量包装。有多种方法可以在 CLR 管理的进程之间进行 IPC，但如果您希望非 CLR 进程进入您的内存，则必须将访问代理写入“外部世界”。

【讨论】：