Question

此问题仅供教育之用。
我知道本机程序是如何工作的。编译器获取每个原语并为其提供一个地址，然后在程序中使用该地址。对于结构，它只是将地址堆叠在一起（带有一些填充） - 但基本上，结构并不真正“存在”。

本机程序不会告诉我它有哪些字段和变量。它只访问不同的地址 - 如果我查看程序集，我可以根据需要命名每个地址，但程序不会给我这些信息。因此，假设我正在寻找一个特定的变量，我不能在没有检查程序的执行或它的组装的情况下这样做。

.NET环境确实告诉我它有哪些变量以及它有哪些字段。使用Assembly类和Reflection命名空间，我可以加载文件并查看它有哪些字段和类。
然后，使用搜索内存的程序（无论是否是本机），我可以找到字段的物理位置（通过使用它，过滤掉等） - 就像Cheat Engine一样。它将为我提供内存中字段的实际地址，由JIT组成的汇编访问。我知道MSIL不包含有关特定字段的所需位置的信息。我几乎肯定JIT永远不会通过删除任何类来优化代码。

我知道.NET调试器是程序中的一个实际类，它允许Visual Studio与应用程序的内部信息进行交互。缺少调试器时，Visual Studio无法读取或写入字段，也无法以任何方式检查应用程序。

有没有办法，没有使用Cheat Engine或类似工具来在的静态（或特定实例）类中的物理位置 >运行.NET进程？ 每次执行后地址是否相同（例如在本机程序中）？它可能只在不同的平台或机器上有所不同吗？ JIT如何确定放置字段的位置？

如果我不清楚，我希望在不访问程序代码的情况下这样做，即外部由另一个进程（如调试器，但对于在发布时编译的程序）。

Answer 1

下一个代码在Paint.net中注入Injector方法并获取MainForm字段。

NInject.exe

public static int Injector(string parameter)
{
  try
  {
    var mainForm = Application.OpenForms.OfType<Form>().FirstOrDefault(form => form.GetType().FullName.EndsWith("MainForm"));

    var builder = new StringBuilder();
    builder.AppendFormat("process: {0}\r\n\r\n", Application.ExecutablePath);
    builder.AppendFormat("type: {0}\r\n", mainForm.GetType().FullName);
    foreach (var field in mainForm.GetType().GetFields(BindingFlags.Instance | BindingFlags.Public | BindingFlags.NonPublic))
    {
      builder.AppendFormat("field {0}: {1}\r\n", field.Name, field.GetValue(mainForm));
    }


    new Form()
    {
      Controls = 
      {
        new TextBox
        {
          Text = builder.ToString(),
          Multiline = true,
          Dock = DockStyle.Fill
        }
      }
    }
    .ShowDialog();
  }
  catch (Exception exc)
  {
    MessageBox.Show(exc.ToString());
  }
  return 0;      
}

static void Main(string[] args)
{
  var process = System.Diagnostics.Process.GetProcessesByName("PaintDotNet").FirstOrDefault();

  var processHandle = OpenProcess(ProcessAccessFlags.All, false, process.Id);

  var proxyPath = System.IO.Path.Combine(System.Windows.Forms.Application.StartupPath, "NInjector.dll");

  var pathBytes = System.Text.Encoding.ASCII.GetBytes(proxyPath);

  var remoteBuffer = VirtualAllocEx(processHandle, IntPtr.Zero, (uint)pathBytes.Length, AllocationType.Commit, MemoryProtection.ReadWrite);
  WriteProcessMemory(process.Handle, remoteBuffer, pathBytes, (uint)pathBytes.Length, IntPtr.Zero);


  var remoteThread = CreateRemoteThread(processHandle, IntPtr.Zero, 0, GetProcAddress(GetModuleHandle("kernel32"), "LoadLibraryA") , remoteBuffer, 0, IntPtr.Zero);

  WaitForSingleObject(remoteThread, unchecked((uint)-1)); 

  CloseHandle(remoteThread);

}

NInjector.dll（本机）

#include "MSCorEE.h"
#pragma comment  (lib, "MSCorEE")

void StartTheDotNetRuntime()
{
    MessageBox(0, L"Started", L"proxy", 0);

    ICLRRuntimeHost *pClrHost = NULL;
    HRESULT hr = CorBindToRuntimeEx(
        NULL, L"wks", 0, CLSID_CLRRuntimeHost,
        IID_ICLRRuntimeHost, (PVOID*)&pClrHost);


    hr = pClrHost->Start();


    DWORD dwRet = 0;
    hr = pClrHost->ExecuteInDefaultAppDomain(
        L"bla-bla\\NInject.exe",
        L"NInject.NInject_Program", L"Injector", L"MyParameter", &dwRet);



    hr = pClrHost->Stop();

    pClrHost->Release();
}


BOOL APIENTRY DllMain( HMODULE hModule,
                       DWORD  ul_reason_for_call,
                       LPVOID lpReserved
                     )
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
    StartTheDotNetRuntime();
    break;
    case DLL_THREAD_ATTACH:
    break;
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:


        break;
    }
    return TRUE;
}

输出：

process: C:\Program Files\Paint.NET\PaintDotNet.exe

type: PaintDotNet.Dialogs.MainForm
field appWorkspace: PaintDotNet.Controls.AppWorkspace
field defaultButton: System.Windows.Forms.Button, Text: 
field floaters: PaintDotNet.Dialogs.FloatingToolForm[]
field floaterOpacityTimer:  [System.Windows.Forms.Timer], Interval: 25
field deferredInitializationTimer: 
field components: System.ComponentModel.Container
field killAfterInit: False
field singleInstanceManager: PaintDotNet.SystemLayer.SingleInstanceManager
field queuedInstanceMessages: System.Collections.Generic.List`1[System.String]
field processingOpen: False
field scrollPosition: {X=0,Y=0}

使用反射在C＃中查找字段的指针

1 个答案:

NInject.exe

NInjector.dll（本机）

输出：