掃描計算機內存

Question

如何在計算機內存中搜索給定的字節序列？ ReadProcessMemory API不適合，因爲它只讀取進程內存，而不是整個內存。

有沒有現存的解決方案？

Answer 1

存在Device\PhysicalMemory對象，但請注意，某些Windows版本不允許用戶模式訪問（請參閱鏈接）。如果你想使用它，你會發現this article有用（對於一些示例代碼搜索「5.2 chmod_mem.c」）。

Answer 2

由於虛擬內存和分頁，您可能無法在物理內存中找到序列。

枚舉過程和heap walking是掃描存儲器，除了內核存儲器的一種方法。