ReadProcessMemory ERROR 299

[sk0r]

Hi,

ich möchte mit ReadProcessMemory einen Speicherbereich in
einen Buffer einlesen. Doch ich bekomme die Fehlernummer
299 von GetLastError. Das Prozesshandle ist gültig.
Ich wollte halt bei ImageNtHeader.OptionalHeader.BaseOfCode
bis zum Ende (ImageNtHeader.OptionalHeader.SizeOfCode) lesen.
Aber ich bekomme da immer diese Fehlernummer. dwBytesRead ist immer 0.

Danke für Hilfe im Vorraus.

Mfg: sk0r

[Neutral General]

Hi,

Zeig mal deinen Code. Wie erhälst du das Prozesshandle?

[sk0r]

Delphi-Quellcode:

hProc := OpenProcess(PROCESS_VM_READ or PROCESS_QUERY_INFORMATION, false, hProcId);
[...]
ReadProcessMemory(hProc, tm.modBaseAddr, @gDosHeader2, sizeof(TImageDosHeader), dwBytesRead);
ReadProcessMemory(hProc, PImageNtHeaders(Cardinal(tm.modBaseAddr) + gDosHeader2._lfanew), @gNtHeaders2, sizeof(TImageNtHeaders), dwBytesRead);

Und dann durchlaufe ich den Speicher von BaseOfCode nach BaseOfCode + SizeOfCode.

[Win32.API]

Und welcher RPM-Aufruf schlaegt fehl?

[sk0r]

Delphi-Quellcode:

ReadProcessMemory(hProc, tm.modBaseAddr, @gDosHeader2, sizeof(TImageDosHeader), dwBytesRead);
ReadProcessMemory(hProc, PImageNtHeaders(Cardinal(tm.modBaseAddr) + gDosHeader2._lfanew), @gNtHeaders2, sizeof(TImageNtHeaders), dwBytesRead);

var mBuf: array[0..1024-1] of Byte;

//Schlägt fehl:
ReadProcessMemory(hProc, Pointer(gNtHeaders2.OptionalHeader.BaseOfCode), @mBuf, sizeof(mBuf), dwBytesRead);

[brechi]

hast du mal geschau was baseofcode ist? kann sein, dass da müll drin steht (auch wenn die DLL an andere adresse geladen wurde) ggf musst du noch die dllbase draufaddieren

[sk0r]

Wenn ich die addiere, dann kommt Zugriff verweigert. :/

[OldGrumpy]

Fehler 299 bedeutet dass die Lese- oder Schreibanforderung nur zum Teil erfüllt werden konnte. Sprich Du liest über das Ende des tatsächlich gemappten Speichers hinaus. Ermittle nach dem Holen der Base erst, bis wohin der Speicher überhaupt das COMMIT-Flag hat.

[sk0r]

Zitat von OldGrumpy:

Fehler 299 bedeutet dass die Lese- oder Schreibanforderung nur zum Teil erfüllt werden konnte. Sprich Du liest über das Ende des tatsächlich gemappten Speichers hinaus. Ermittle nach dem Holen der Base erst, bis wohin der Speicher überhaupt das COMMIT-Flag hat.

Würde dwBytesRead dann nicht den Wert enthalten, der noch gelesen wurde? Ich ich meine, es schlägt ja direkt der erste Aufruf fehl... Undwie überprüfe ich, bis wohin er das COMMIT Flag hat?

[OldGrumpy]

Setze bitte mal einen Breakpoint auf den fehlschlagenden ReadProcessMemory-Aufruf und sag mir welchen Wert Dein gNtHeaders2.OptionalHeader.BaseOfCode hat.