草庐IT

c# - C#获取外部进程的线程起始地址

coder 2024-06-14 原文

我已经设置了一个简单的 C# 程序。 我从 kernel32.dll 导入了 OpenProcess , ReadProcessMemory和 WriteProcessMemory .

我已将一个外部进程获取到 Process 中类。

我怎样才能得到 StartAddress对于 Thread #0 对于特定的 ProcessThread ？

Process process = Process.GetProcessesByName("Calculator")[0];
if (process == null) {
    Console.WriteLine("Process not found");
    return;
}

foreach (ProcessThread thread in process.Threads) {
    Console.WriteLine(thread.StartAddress);
}

上面代码的结果是:

-157479632
-157479632
-157479632
-157479632
0
-157479632
-157479632
-157479632
-157479632
-157479632
-157479632
-157479632

为什么有的是0，其余的都是一样的，都是负数？

最佳答案

在线程对象(结构 _ETHREAD )中存在 2 个不同的起始地址 - StartAddress - 这是线程在通过 LdrInitializeThunk 遍历 DLL 后开始执行的地址.也存在第二个地址 - Win32StartAddress .这个地址的意义——当我们通过 win32 函数创建线程时 Create[Remothe]Thread (或 it shell)- win32 级别设置公共(public)线程 StartAddress至 ntdll.RtlThreadThreadStart (此函数的名称取决于 Windows 版本，比如 xp - 另一个名称)并且实际的 lpStartAddress 被传递给 Create[Remothe]Thread作为参数。 RtlThreadThreadStart已经调用了实际的 lpStartAddress。 lpStartAddress 并存储在 Win32StartAddress 中.

因为大多数线程都是通过 win32 创建的 Create[Remothe]Thread - 他们都有相同的StartAddress (对于另一个 StartAddress，我们需要直接调用低级 API，如 RtlCreateUserThread。也在 System 进程中 - StartAddress 是内核中的实际线程起始地址)

当你使用代码时

foreach (ProcessThread thread in process.Threads) {
    Console.WriteLine(thread.StartAddress);
}

你得到了 StartAddress - 在大多数情况下，您提供相同的地址是绝对正常的。在某些情况下，您可能会得到 0 或其他不正确的值 - 因为在某些版本的窗口中 StartAddress与另一个成员联合保存，可以被覆盖。

获取Win32StartAddress您必须使用 THREAD_QUERY_LIMITED_INFORMATION 打开线程句柄或 THREAD_QUERY_INFORMATION并调用ZwQueryInformationThread与 ThreadQuerySetWin32StartAddress 

    PVOID pv;
    ZwQueryInformationThread(hThread, ThreadQuerySetWin32StartAddress, &pv, sizeof(pv), 0);

关于all negative?

因为你错误地打印了线程地址 - 指针。您将其打印为有符号整数。但你必须用 %p 以十六进制打印它作为指针格式

关于c# - C#获取外部进程的线程起始地址，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/46145300/

起始地c#codeStartAddress157479632windowsmemory-address

有关c# - C#获取外部进程的线程起始地址的更多相关文章

  1. ruby - 在 jRuby 中使用 'fork' 生成进程的替代方案？ - 2

    在MRIRuby中我可以这样做:deftransferinternal_server=self.init_serverpid=forkdointernal_server.runend#Maketheserverprocessrunindependently.Process.detach(pid)internal_client=self.init_client#Dootherstuffwithconnectingtointernal_server...internal_client.post('somedata')ensure#KillserverProcess.kill('KILL',

  2. ruby - 通过 ruby​​ 进程共享变量 - 2

    我正在编写一个gem，我必须在其中fork两个启动两个webrick服务器的进程。我想通过基类的类方法启动这个服务器，因为应该只有这两个服务器在运行，而不是多个。在运行时，我想调用这两个服务器上的一些方法来更改变量。我的问题是，我无法通过基类的类方法访问fork的实例变量。此外，我不能在我的基类中使用线程，因为在幕后我正在使用另一个不是线程安全的库。所以我必须将每个服务器派生到它自己的进程。我用类变量试过了，比如@@server。但是当我试图通过基类访问这个变量时，它是nil。我读到在Ruby中不可能在分支之间共享类变量，对吗？那么，还有其他解决办法吗？我考虑过使用单例，但我不确定这是

  3. ruby - RuntimeError(自动加载常量 Apps 多线程时检测到循环依赖 - 2

    我收到这个错误:RuntimeError(自动加载常量Apps时检测到循环依赖当我使用多线程时。下面是我的代码。为什么会这样？我尝试多线程的原因是因为我正在编写一个HTML抓取应用程序。对Nokogiri::HTML(open())的调用是一个同步阻塞调用，需要1秒才能返回，我有100,000多个页面要访问，所以我试图运行多个线程来解决这个问题。有更好的方法吗？classToolsController0)app.website=array.join(',')putsapp.websiteelseapp.website="NONE"endapp.saveapps=Apps.order("

  4. ruby - 简单获取法拉第超时 - 2

    有没有办法在这个简单的get方法中添加超时选项？我正在使用法拉第3.3。Faraday.get(url)四处寻找，我只能先发起连接后应用超时选项，然后应用超时选项。或者有什么简单的方法？这就是我现在正在做的:conn=Faraday.newresponse=conn.getdo|req|req.urlurlreq.options.timeout=2#2secondsend 最佳答案 试试这个:conn=Faraday.newdo|conn|conn.options.timeout=20endresponse=conn.get(url

  5. ruby - 从 Ruby 中的主机名获取 IP 地址 - 2

    我有一个存储主机名的Ruby数组server_names。如果我打印出来，它看起来像这样:["hostname.abc.com","hostname2.abc.com","hostname3.abc.com"]相当标准。我想要做的是获取这些服务器的IP(可能将它们存储在另一个变量中)。看起来IPSocket类可以做到这一点，但我不确定如何使用IPSocket类遍历它。如果它只是尝试像这样打印出IP:server_names.eachdo|name|IPSocket::getaddress(name)pnameend它提示我没有提供服务器名称。这是语法问题还是我没有正确使用类？输出:ge

  6. ruby - 获取模块中定义的所有常量的值 - 2

    我想获取模块中定义的所有常量的值:moduleLettersA='apple'.freezeB='boy'.freezeendconstants给了我常量的名字:Letters.constants(false)#=>[:A,:B]如何获取它们的值的数组，即["apple","boy"]？ 最佳答案 为了做到这一点，请使用mapLetters.constants(false).map&Letters.method(:const_get)这将返回["a","b"]第二种方式:Letters.constants(false).map{|c

  7. ruby-on-rails - 获取 inf-ruby 以使用 ruby​​ 版本管理器 (rvm) - 2

    我安装了ruby​​版本管理器，并将RVM安装的ruby​​实现设置为默认值，这样'哪个ruby'显示'~/.rvm/ruby-1.8.6-p383/bin/ruby'但是当我在emacs中打开inf-ruby缓冲区时，它使用安装在/usr/bin中的ruby​​。有没有办法让emacs像shell一样尊重ruby​​的路径？谢谢! 最佳答案 我创建了一个emacs扩展来将rvm集成到emacs中。如果您有兴趣，可以在这里获取:http://github.com/senny/rvm.el

  8. c# - 如何在 ruby​​ 中调用 C# dll？ - 2

    如何在ruby​​中调用C#dll？ 最佳答案 我能想到几种可能性:为您的DLL编写(或找人编写)一个COM包装器，如果它还没有，则使用Ruby的WIN32OLE库来调用它；看看RubyCLR,其中一位作者是JohnLam，他继续在Microsoft从事IronRuby方面的工作。(估计不会再维护了，可能不支持.Net2.0以上的版本)；正如其他地方已经提到的，看看使用IronRuby，如果这是您的技术选择。有一个主题是here.请注意，最后一篇文章实际上来自JohnLam(看起来像是2009年3月)，他似乎很自在地断言RubyCL

  9. Ruby 从大范围中获取第 n 个项目 - 2

    假设我有这个范围:("aaaaa".."zzzzz")如何在不事先/每次生成整个项目的情况下从范围中获取第N个项目？ 最佳答案 一种快速简便的方法:("aaaaa".."zzzzz").first(42).last#==>"aaabp"如果出于某种原因你不得不一遍又一遍地这样做，或者如果你需要避免为前N个元素构建中间数组，你可以这样写:moduleEnumerabledefskip(n)returnto_enum:skip,nunlessblock_given?each_with_indexdo|item,index|yieldit

  10. C# 到 Ruby sha1 base64 编码 - 2

    我正在尝试在Ruby中复制Convert.ToBase64String()行为。这是我的C#代码:varsha1=newSHA1CryptoServiceProvider();varpasswordBytes=Encoding.UTF8.GetBytes("password");varpasswordHash=sha1.ComputeHash(passwordBytes);returnConvert.ToBase64String(passwordHash);//returns"W6ph5Mm5Pz8GgiULbPgzG37mj9g="当我在Ruby中尝试同样的事情时，我得到了相同sha

随机推荐