📄 1.htm
字号:
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
<!-- saved from url=(0046)http://go5.163.com/_NTES/~ssudi/doc/win/1.html -->
<HTML><HEAD><TITLE>Delphi编程参考--编程文章</TITLE>
<META content=zh-cn http-equiv=Content-Language>
<META content="text/html; charset=gb2312" http-equiv=Content-Type>
<META content=FrontPage.Editor.Document name=ProgId>
<META content=ou,delphi,weather,borland,inprise,asp,files,component,sample,编程
name=keywords>
<STYLE type=text/css>.unnamed1 {
COLOR: #ffffff; FONT-SIZE: 11pt; PADDING-TOP: 5px; TEXT-ALIGN: center
}
.f1 {
COLOR: #000000; FONT-SIZE: 11pt
}
.f2 {
COLOR: #0f0fff; FONT-SIZE: 9pt
}
.f3 {
COLOR: #000000; FONT-SIZE: 9pt
}
.f4 {
COLOR: #ff1f00; FONT-SIZE: 9pt; FONT-WEIGHT: bold
}
.f5 {
COLOR: #0f0fff; FONT-SIZE: 9pt
}
A:link {
COLOR: #333333; TEXT-DECORATION: none
}
A:visited {
COLOR: #333333; TEXT-DECORATION: none
}
A:hover {
COLOR: #ff2111; TEXT-DECORATION: none
}
</STYLE>
<META content="MSHTML 5.00.2919.6307" name=GENERATOR></HEAD>
<BODY bgColor=#ffffec leftMargin=2 topMargin=2>
<DIV align=center>
<CENTER>
<TABLE bgColor=#ecbe8c border=1 borderColor=#804000 cellPadding=0 cellSpacing=0
height=478 width="80%">
<TBODY>
<TR>
<TD bgColor=#f7b573 height=31 vAlign=center width="100%">
<P align=center>如何访问一个进程的内存空间<BR><BR>天津纺织工学院 <BR>姚佩云</P></TD></TR>
<TR>
<TD bgColor=#f9daac height=435 vAlign=top width="100%">----
在WIN32中，每个应用程序都可“看见”4GB的线性地址空间，其中最开始的4MB和最后的2GB由操作系统保留，剩下不足2GB的空间用于应用程序私有空间。具体分配如下：0xFFFFFFFF-0xC0000000的1GB用于VxD、存储器管理和文件系统；0xBFFFFFFF-0x80000000的1GB用于共享的WIN32
DLL、存储器映射文件和共享存储区；0x7FFFFFFF-0x00400000为每个进程的WIN32专用地址；0x003FFFFF-0x00001000为MS-DOS
和
WIN16应用程序；0x00000FFF-0x00000000为防止使用空指针的4,096字节。以上都是指逻辑地址，也就是虚拟内存。 <BR><BR>----
虚拟内存通常是由固定大小的块来实现的，在WIN32中这些块称为“页”，每页大小为4,096字节。在Intel
CPU结构中，通过在一个控制寄存器中设置一位来启用分页。启用分页时CPU并不能直接访问内存，对每个地址要经过一个映射进程，通过一系列称作“页表”的查找表把虚拟内存地址映射成实际内存地址。通过使用硬件地址映射和页表WIN32可使虚拟内存即有好的性能而且还提供保护。利用处理器的页映射能力，操作系统为每个进程提供独立的从逻辑地址到物理地址的映射，使每个进程的地址空间对另一个进程完全不可见。WIN32中也提供了一些访问进程内存空间的函数，但使用时要谨慎，一不小心就有可能破坏被访问的进程。本文介绍如何读另一个进程的内存，写内存与之相似，完善一下你也可以做个
FPE 之类的内存修改工具。好吧，先准备好编程利器Delphi 和 参考手册 MSDN ，Now
begin! <BR><BR><BR>ReadProcessMemory 读另一个进程的内存，原形如下：<BR>BOOL
ReadProcessMemory(<BR>HANDLE hProcess, // 被读取进程的句柄；<BR>LPCVOID
lpBaseAddress, // 读的起始地址；<BR>LPVOID lpBuffer, // 存放读取数据缓冲区；<BR>DWORD
nSize, // 一次读取的字节数；<BR>LPDWORD lpNumberOfBytesRead //
实际读取的字节数；<BR>);<BR>hProcess 进程句柄可由OpenProcess 函数得到，原形如下：<BR>HANDLE
OpenProcess(<BR>DWORD dwDesiredAccess, // 访问标志；<BR>BOOL bInheritHandle, //
继承标志；<BR>DWORD dwProcessId // 进程ID；<BR>);<BR><BR>---- 当然，用完别忘了用
CloseHandle 关闭打开的句柄。读另一个进程的内存 dwDesiredAccess 须指定为 PROCESS_VM_READ
，写另一个进程的内存 dwDesiredAccess 须指定为 PROCESS_VM_WRITE ，继承标志无所谓，进程ID可由
Process32First 和 Process32Next 得到，这两个函数可以枚举出所有开启的进程，这样进程的信息也就得到了。
Process32First 和 Process32Next是由 TLHelp32 单元提供的，需在 uses
里加上TLHelp32。ToolsHelp32
封装了一些访问堆、线程、进程等的函数，只适用于Win9x，原形如下： <BR><BR>BOOL WINAPI
Process32First(<BR>HANDLE hSnapshot // <BR>由 CreateToolhelp32Snapshot
返回<BR>的系统快照句柄；<BR>LPPROCESSENTRY32 lppe // 指向一个 PROCESSENTRY32
结构；<BR>)；<BR>BOOL WINAPI Process32Next(<BR>HANDLE hSnapshot // 由
CreateToolhelp32Snapshot 返回<BR>的系统快照句柄；<BR>LPPROCESSENTRY32 lppe // 指向一个
PROCESSENTRY32 结构；<BR>)；<BR>hSnapshot 由 CreateToolhelp32Snapshot
返回的系统快照句柄；<BR>CreateToolhelp32Snapshot 原形如下：<BR>HANDLE WINAPI
CreateToolhelp32Snapshot(<BR>DWORD dwFlags, // 快照标志； <BR>DWORD
th32ProcessID // 进程ID；<BR>);<BR>现在需要的是进程的信息，所以将 dwFlags <BR>指定为
TH32CS_SNAPPROCESS，<BR>th32ProcessID 忽略；PROCESSENTRY32 结构如下：<BR>typedef
struct tagPROCESSENTRY32 { <BR>DWORD dwSize; // 结构大小；<BR>DWORD
cntUsage; // 此进程的引用计数；<BR>DWORD th32ProcessID; // 进程ID;<BR>DWORD
th32DefaultHeapID; // 进程默认堆ID；<BR>DWORD th32ModuleID; // 进程模块ID；<BR>DWORD
cntThreads; // 此进程开启的线程计数；<BR>DWORD th32ParentProcessID;// 父进程ID；<BR>LONG
pcPriClassBase; // 线程优先权；<BR>DWORD dwFlags; // 保留； <BR>char
szExeFile[MAX_PATH]; // 进程全名；<BR>} PROCESSENTRY32;<BR><BR>----
至此，所用到的主要函数已介绍完,实现读内存只要从下到上依次调用上述函数即可，具体参见原代码： <BR>procedure
TForm1.Button1Click(Sender:
TObject);<BR>var<BR>FSnapshotHandle:THandle;<BR>FProcessEntry32:TProcessEntry32;<BR>Ret
: BOOL;<BR>ProcessID : integer;<BR>ProcessHndle :
THandle;<BR>lpBuffer:pByte;<BR>nSize: DWORD;<BR>lpNumberOfBytesRead:
DWORD;<BR>i:integer;<BR>s:string;<BR>begin<BR>FSnapshotHandle:=CreateToolhelp32Snapshot(<BR>TH32CS_SNAPPROCESS,0);<BR>//创建系统快照<BR>FProcessEntry32.dwSize:=Sizeof(FProcessEntry32);<BR>//先初始化
FProcessEntry32
的大小<BR>Ret:=Process32First(FSnapshotHandle,FProcessEntry32);<BR>while Ret
do<BR>begin<BR>s:=ExtractFileName(FProcessEntry32.szExeFile);<BR>if
s='KERNEL32.DLL'
then<BR>begin<BR>ProcessID:=FProcessEntry32.th32ProcessID;<BR>s:='';<BR>break;<BR>end;<BR>Ret:=Process32Next(FSnapshotHandle,FProcessEntry32);<BR>end;<BR>//循环枚举出系统开启的所有进程，找出“Kernel32.dll”<BR>CloseHandle(FSnapshotHandle);<BR>Memo1.Lines.Clear
;<BR>memo1.lines.add('Process ID
'+IntToHex(<BR>FProcessEntry32.th32ProcessID,8));<BR>memo1.lines.Add('File
name
'+FProcessEntry32.szExeFile);<BR>////输出进程的一些信息 <BR>nSize:=4;<BR>lpBuffer:=AllocMem(nSize);<BR>ProcessHndle:=OpenProcess(PROCESS_VM_READ,false,ProcessID);<BR>memo1.Lines.Add
('Process Handle '+intTohex(ProcessHndle,8));<BR>for i:=$00800001 to
$0080005f
do<BR>begin<BR>ReadProcessMemory(<BR>ProcessHndle,<BR>Pointer(i),<BR>lpBuffer,<BR>nSize,<BR>lpNumberOfBytesRead<BR>);<BR>s:=s+intTohex(lpBuffer^,2)+'
';<BR>//读取内容<BR>if (i mod 16) =0
then<BR>begin<BR>Memo1.Lines.Add(s);<BR>s:='';<BR>end;<BR>//格式化输出<BR>end;<BR>FreeMem(lpBuffer,nSize);<BR>CloseHandle(ProcessHndle);<BR>//关闭句柄，释放内存<BR>end;<BR><BR>----
以上程序在 Delphi4 中文Win98 下调试通过。 <BR></TD></TR></TBODY></TABLE></CENTER></DIV>
<P align=center> </P>
<HR>
<P align=center><I><FONT color=#808000>学勇的Delphi情缘</FONT></I><BR><BR><A
href="mailto:lsscxy@sohu.com">lsscxy@sohu.com</A></P></BODY></HTML>
⌨️ 快捷键说明
复制代码
Ctrl + C
搜索代码
Ctrl + F
全屏模式
F11
切换主题
Ctrl + Shift + D
显示快捷键
?
增大字号
Ctrl + =
减小字号
Ctrl + -