DLL中源函数的DLLImport

Question

我想在kernel32.dll 中调用一个函数（不管是哪个函数）。它工作得很好。

现在我有以下问题：

另一个程序注入了在 kernel32.dll 中挂钩函数并更改其返回值的代码。我怎样才能调用 origin 函数呢？

在我可以先打开 我的 程序之前，它运行良好。但在 Windows 10 中，它调用了注入函数。

希望我能解释清楚。

这是一个例子：

我使用了ReadProcessMemory()这个函数，效果很好。有一个程序可以更改此功能。如果启动这个程序，我只会收到来自ReadProcessMemory() 的 0xFF。

例如，在 Windows 7 中，我只需要在另一个程序更改功能之前启动我的程序。

但在 Windows 10 中，它不再工作了。当另一个程序启动时，我只收到 0xFF。

所以我导入函数：

[DllImport(@"C:\WINDOWS\system32\kernel32.dll", EntryPoint = "ReadProcessMemory")]
private static extern bool ReadProcessMemory(IntPtr hProcess, UIntPtr lpBaseAddress, [Out] byte[] lpBuffer, UIntPtr nSize, IntPtr lpNumberOfBytesRead);

我的阅读功能：

public static bool ReadMemory(Int64 Address, ref byte[] buffer)
{
    return ReadProcessMemory(ProcessHandle, (UIntPtr)Address, buffer, (UIntPtr)buffer.Length, IntPtr.Zero);
}

Answer 1

如果只更改kernel32.dll，您可以调用ntdll.dll!NtReadVirtualMemory（ReadProcessMemory 本身调用此函数）。

如果 ntdll.dll 似乎也被第 3 方进程更改，您可以将 ntdll.dll 复制到另一个临时文件 (ntdll_copy.dll)，然后使用它：

[DllImport("ntdll_copy.dll", EntryPoint = "NtReadVirtualMemory")]
private static extern bool NtReadVirtualMemory(IntPtr hProcess, UIntPtr lpBaseAddress, [Out] byte[] lpBuffer, UIntPtr nSize, IntPtr lpNumberOfBytesRead);