扫描计算机内存

Question

如何在计算机内存中搜索给定的字节序列？ ReadProcessMemory API不适合，因为它只读取进程内存，而不是整个内存。

有没有现成的解决方案？

Answer 1

有Device\PhysicalMemory对象，但请注意，某些Windows版本不允许用户模式访问（请参阅链接）。如果你想使用它，你会发现this article很有用（在某些示例代码中搜索“5.2 chmod_mem.c”）。

Answer 2

由于虚拟内存和分页，您可能无法在物理内存中找到序列。

枚举进程和heap walking是扫描内存的一种方法，除了内核内存。