Как прочитать оперативку по адресу?

Question

[aab137]

Дан адрес, типа 02FB690C. Необходимо прочитать, что находится в оперативке под этим адресом.

Comments

[Сергей Горностаев]

А это адрес того же процесса, в котором осуществляется чтение, или другого?

[aab137]

Сергей Горностаев, левого

[Сергей Горностаев]

aab137, у каждого процесса по этому адресу будут разные данные.

Answer 1

[Сергей Горностаев]

Как-то так

import sys
import ctypes
import ctypes.wintypes as wintypes


PROCESS_VM_READ = 0x0010
BUF_SIZE = 64

kernel32 = ctypes.windll.kernel32

kernel32.OpenProcess.restype = wintypes.HANDLE
kernel32.OpenProcess.argtypes = [
    wintypes.DWORD,
    wintypes.BOOL,
    wintypes.DWORD
]

kernel32.CloseHandle.restype = wintypes.BOOL
kernel32.CloseHandle.argtypes = [ wintypes.HANDLE ]

kernel32.ReadProcessMemory.restype = wintypes.BOOL
kernel32.ReadProcessMemory.argtypes = [ 
    wintypes.HANDLE,
    wintypes.LPCVOID,
    wintypes.LPVOID,
    ctypes.c_size_t,
    ctypes.POINTER(ctypes.c_size_t)
]

pid = int(sys.argv[1])
addr = int(sys.argv[2], 16)

buf = ctypes.create_string_buffer(BUF_SIZE)
read = ctypes.c_size_t()

ph = kernel32.OpenProcess(PROCESS_VM_READ, False, pid)
r = kernel32.ReadProcessMemory(ph, addr, ctypes.byref(buf), BUF_SIZE, ctypes.byref(read))
kernel32.CloseHandle(ph)

print(buf.value)

Естественно, лучше добавить обработку ошибок.

Comments

[aab137]

в sys.argv[1] list index out of range

[Сергей Горностаев]

aab137, ну так надо при запуске скрипта передать ему идентификатор процесса и адрес памяти.

[aab137]

Сергей Горностаев, еще вопрос небольшой, можно ли автоматически получить этот самый идентификатор процесса автоматически? Я сижу в винде и ничего подходящего не нашел

[Сергей Горностаев]

aab137, наверняка можно, если есть какие-то другие характеристики, по которым можно однозначно идентифицировать процесс.