读到全部字节集

小白弟弟

一个进程，a.exe
我想点一下按钮，就获取全部地址的字节集（注意，全部，全部，全部，包括不同模块，那些的）

然后写到桌面\1.txt

能实现吗？能的话咋操作呢？

精币不够可加


额，之前那读个  读字节集（PID，0x00400000，2100000000） 不行，本来之前可以的，今天试了下就不行了。

有没有大佬给个解决方法啊，精币不够可以加


补充内容 (2023-1-2 18:45):
如果是单个模块的全部字节集呢？

明天自然醒

小白弟弟 发表于 2023-1-2 18:45
如果是单个模块的全部字节集呢？

不是有反汇编模块的吗，你去扒一下源码看看

明天自然醒

拆包哪有这么简单

小白弟弟

明天自然醒 发表于 2023-1-2 18:43
拆包哪有这么简单

如果是单个模块的全部字节集呢？

hxk12349

分段读，不要一次读全部

小白弟弟

明天自然醒 发表于 2023-1-2 18:48
不是有反汇编模块的吗，你去扒一下源码看看

这个怎么了

bysy

因为 内存块不是连续的 你没办法读 读字节集（PID，0x00400000，2100000000） 你 应该遍历内存块是否 可以访问 然后再读取

同学麻烦让让

枚举进程所有模块，记下模块句柄和内存大小，然后一个个读出来再写入

陽陽陽

API是万能的
复制内存，然后写到文件试试？

类似傀儡进程的思路

冰棍好烫啊

可以参考旧版本的NB模块呢,4.9版本之前弃用的搜索特征码用到的
原理就是把整个模块的字节集全搞出来
先获取模块的地址和大小
然后读字节集

  

子程序名	返回值类型	公开	备 注
读模块内存2	字节集		直接读取某个进程某个模块的全部数据
参数名	类 型	参考	可空	数组	备 注
进程句柄	整数型
模块名	文本型
返回模块地址	整数型

变量名	类 型	静态	数组	备 注
hModule	整数型
hProcess	整数型
Tmp	MODULEINFO
Size	整数型
dump	字节集

hModule ＝ 取模块地址2 (进程句柄, 模块名)
GetModuleInformation (进程句柄, hModule, Tmp, Size)
返回模块地址 ＝ Tmp.lpBaseOfDll
dump ＝ 读字节集2 (进程句柄, Tmp.lpBaseOfDll, Tmp.SizeOfImage)
CloseHandle (hProcess)
返回 (dump)

.版本 2<br /> <br /> .子程序 读模块内存2, 字节集, 公开, 直接读取某个进程某个模块的全部数据<br /> .参数 进程句柄, 整数型<br /> .参数 模块名, 文本型<br /> .参数 返回模块地址, 整数型, 参考 可空<br /> .局部变量 hModule, 整数型<br /> .局部变量 hProcess, 整数型<br /> .局部变量 Tmp, MODULEINFO<br /> .局部变量 Size, 整数型<br /> .局部变量 dump, 字节集<br /> <br /> hModule ＝ 取模块地址2 (进程句柄, 模块名)<br /> GetModuleInformation (进程句柄, hModule, Tmp, Size)<br /> 返回模块地址 ＝ Tmp.lpBaseOfDll<br /> dump ＝ 读字节集2 (进程句柄, Tmp.lpBaseOfDll, Tmp.SizeOfImage)<br /> CloseHandle (hProcess)<br /> 返回 (dump)