Question

是否可以完全控制子进程？我没有子进程的来源。我需要看到并改变它的变量。如果是，我怎么能通过C＃/ C ++来实现呢？

Answer 1

如果是内存操作 - 例如：读取和写入字节数据到另一个进程的内存空间，那么是 - 你可以这样做，假设父进程以足够的权限启动。例如：作为管理员。

对于更复杂的东西，比如调用子进程代码，你需要做类似DLL注入的事情。作为开发中的安全措施，程序旨在完全控制自己的代码空间，其他应用程序无意在外部应用程序中访问或调用方法。保存API以供外部应用程序使用。

为了在外部应用程序中读取和写入内存位置，您可以在C＃

中执行以下操作

使用以下

using System;
using System.Collections.Generic;
using System.Text;
using System.Runtime.InteropServices;
using System.Diagnostics;

namespace MemoryManagement
{
    public class Memory : IDisposable
    {
        [DllImport("kernel32.dll")]
        static extern IntPtr OpenProcess(UInt32 dwDesiredAccess, Boolean bInheritHandle, UInt32 dwProcessId);
        [DllImport("kernel32.dll")]
        static extern bool ReadProcessMemory(IntPtr hProcess, IntPtr lpBaseAddress,
        byte[] lpBuffer, UIntPtr nSize, uint lpNumberOfBytesWritten);

        [DllImport("kernel32.dll", SetLastError = true)]
        static extern bool WriteProcessMemory(IntPtr hProcess, IntPtr lpBaseAddress, byte[] lpBuffer, uint nSize, out UIntPtr lpNumberOfBytesWritten);


        public IntPtr Handle;
        public Process ProcessHeld = null;
        public Memory(string sprocess)
        {
            Process[] Processes = Process.GetProcessesByName(sprocess);
            Process nProcess = Processes[0];

            Handle = OpenProcess(0x10, false, (uint)nProcess.Id);
            if (Handle != IntPtr.Zero)
            {
                ProcessLoaded = true;
                ProcessHeld = nProcess;
            }
            else
            {
                ProcessLoaded = false;
            }
        }
        public void Dispose()
        {
            Dispose(true);
            GC.SuppressFinalize(this);
        }

        protected virtual void Dispose(bool disposing)
        {
            if (disposing)
            {
                // Free other state (managed objects).

            }
            // Free your own state (unmanaged objects).
            // Set large fields to null.
        }

        // Use C# destructor syntax for finalization code.

        ~Memory()
        {
            Dispose(false);
        }



        //Would use this method below - for the actual writing of the Disable Patch Code 
        public UIntPtr WriteByteArray(IntPtr hProcess, IntPtr BaseAddress, byte[] NewVal)
        {
            try
            {
                // Return Value 
                bool ReturnVal;
                UIntPtr BytesWritten;
                // Write Memory Byte Array 
                ReturnVal = WriteProcessMemory(hProcess, BaseAddress, NewVal, (uint)NewVal.Length, out BytesWritten);

                return BytesWritten;
            }
            catch (Exception e)
            {

                return (UIntPtr)0x0;
            }
        } 


        public bool ProcessLoaded = false;

        public string ReadString(uint pointer)
        {
            byte[] bytes = new byte[24];

            ReadProcessMemory(Handle, (IntPtr)pointer, bytes, (UIntPtr)24, 0);
            return Encoding.UTF8.GetString(bytes);
        }

        public string ReadString(uint pointer, int length)
        {
            byte[] bytes = new byte[length];

            ReadProcessMemory(Handle, (IntPtr)pointer, bytes, (UIntPtr)length, 0);
            return Encoding.UTF8.GetString(bytes);
        }

        public int ReadOffset(uint pointer, uint offset)
        {
            byte[] bytes = new byte[24];

            uint adress = (uint)ReadPointer(pointer) + offset;
            ReadProcessMemory(Handle, (IntPtr)adress, bytes, (UIntPtr)sizeof(int), 0);
            return BitConverter.ToInt32(bytes, 0);
        }

        public int ReadPointer(uint pointer)
        {
            byte[] bytes = new byte[24];

            ReadProcessMemory(Handle, (IntPtr)pointer, bytes, (UIntPtr)sizeof(int), 0);
            return BitConverter.ToInt32(bytes, 0);
        }

    }

}

然后你可以使用

Memory mem = new Memory(Process.GetProcessByName("proc"));
string strVal = mem.ReadString(0x04443);

注意 - 我使用这个类从一个名为Neverwinter Nights的游戏中读取一些内存。如果可以找到指向内存位置的指针，则可以使用带有ReadPointer方法的指针。

对于更复杂的DLL注入任务，我建议查找其中一个库。

WhiteMagic，BlackMagic或GreyMagic

http://www.ownedcore.com/forums/world-of-warcraft/world-of-warcraft-bots-programs/wow-memory-editing/259362-release-c-whitemagic-injected-net-helper-library.html

https://forum.tuts4you.com/topic/23764-blackmagic-managed-memory-manipulation/

http://www.ownedcore.com/forums/world-of-warcraft/world-of-warcraft-bots-programs/wow-memory-editing/379821-greymagic-best-of-both-worlds-then-some-print.html

DLL注入更复杂，因为您需要对子进程中的结构有一个大致的了解。您需要使用IDA之类的东西来检查程序方法调用和跳转等。

在其他开发人员的帮助下，我能够使用IDA和Whitemagic创建DLL注入有效负载，这允许我在子进程内的新端口上打开一个新的TCPClient。基本上允许我将自己的'onCommand'功能添加到子进程。

我特意设法让我的GameServer可以触发GameClient截取屏幕截图，然后自动将其上传到游戏服务器的Facebook页面。最后工作了，但有点复杂。

控制子进程Windows

1 个答案: