2024年3月25日发(作者：)

前不久玩植物大战僵尸，不停地玩啊玩，也通关了，准备开始享受一下IMBA的感觉。“玩玩小游戏”

模式中有关“谁笑到最后”，一来就有5000的阳光，随你布置，布置完后开始攻击，过关挺容易。但是

毕竟5000的阳光可布置的植物有限，总觉得不过瘾，于是找来《金山游侠》改阳光数量。好好享受了几

次imba的感觉。

不用说，我当然不甘心用别人的工具，我要自己来。我选择.NET Framework 3.5作为该程序的实现

平台。

整个过程总结如下：

一．获取具有窗体的进程集合

二．在所选进程的私有地址空间内查找数据

三．跟踪所选进程的数据修改情况，获得所要修改的数据的唯一地址

四．修改该地址中的数据内容

这就好办了，思路有了，我们就根据思路来搜集和整理相关知识：

进程

进程只是个被动容器，其中包含了很多资源。

stics命名空间中的 Process类表示进程。Process类中的 GetProcesses() 方法可以

获取系统中所有进程。判断MainWindowHandle 是否为空可以确定进程是否包含主窗体。

我当前的宿主OS是XP，在32位的 Windwos NT/2000/XP 中，进程地址空间有4GB，但却只能访

问其地址空间底部的2GB，另外2GB留给内核模式相关的一些东西用。在这部分可访问的2GB空

间中，最低和最高的64KB不能访问，于是可访问的地址范围是：0x00010000 到 0x7ffeffff。

我们还需要读和写进程的内存，s 提供的方法不能做到。还好，Windows

的kernel32库中的进程相关API可以帮到：ReadProcessMemory和 WriteProcessMemory，可以

将他们表达为如下C#语句：

[DllImport("", SetLastError = true)]

static extern bool ReadProcessMemory(

IntPtr hProcess,

IntPtr lpBaseAddress,

[Out] byte[] lpBuffer,

int dwSize,

out int lpNumberOfBytesRead

);

[DllImport("", SetLastError = true)]

static extern bool WriteProcessMemory(

IntPtr hProcess,

IntPtr lpBaseAddress,

byte[] lpBuffer,

uint nSize,

out int lpNumberOfBytesWritten);

名字很直观：读/写进程内存。

两个方法签名基本相同，我这里简单解释一下：

hProcess ：进程句柄

lpBaseAddress：基地址，也就是起始地址（起始位置）

lpBuffer：从基地址起读取或要写入的内存值

nSize：读取或写入的数量，单位是字节

lpNumberOfBytesRead、 lpNumberOfBytesWritten：用作传出，表示实际读取或写入的数量

好了！开始实战吧！

创建一个C#的Windows forms项目