String mit ReadMemoryProcess auslesen

[RedShakal]

Hallo, ich habe diverse Funktionen um Integer Werte aus dem Speicher fremder Programme auszulesen oder Funktionen mit z.b. Nop zu überpatchen. Leider finde ich aber keinerlei möglichkeit einen Textwert aus einer Adresse auszulesen. In der Adresse stehen die Namen aller Clients drin, die ich gern extern auswerten Würde. Wie stellt man das am besten an?

[Fridolin Walther]

Die Frage ist, was für ein String ist das. Pascal String? 0-terminiert? Ein Char Array fixer Länge? Je nachdem gäbe es unterschiedliche Möglichkeiten. Wenn der String keine fixe Länge hat (= Char Array) ist das Hauptproblem die Länge des Strings zu ermitteln. Bei Pascal Strings ist das noch relativ simpel zu ermitteln, da der erste Wert die Länge angibt. Bei Null-Terminierung dagegen muss wahrscheinlich zeichenweise gelesen werden bis man am 0-Char ankommt.

Ansonsten ist das Vorgehen egal um was für einen String es sich handelt, mehr oder weniger gleich:
Den Prozess mit OpenProcess öffnen und die Speicherbereiche mit ReadProcessMemory auslesen. Gegebenenfalls ist beim Fehlen von Rechten auch ein VirtualProtectEx notwendig sowie das Erlangen von Debug Previlegien (SeDebugPrivilege).

Aber ohne genauere Angaben keine genaueren Informationen ;).

[RedShakal]

Also die Namen sind Dynamisch. Allerdings gibt es auch den einen oder anderen festen Wert der immer aus exakt 4 Buchstaben besteht. Dieser würde mir zu anfang genügen.

Was genau das für ein String ist kann ich leider nicht sagen, ich weiß nur das die original exe von 1998 ist und mit MS Visual C++ geschrieben wurde.

[Fridolin Walther]

Bei C++ ist es am wahrscheinlichsten, daß die Strings nullterminiert sind. Schau halt mal mit nem Hex Editor in den Prozessspeicher wie die Strings aussehen. Dort solltest Du dann auch sehen ob es normale ANSI Strings sind oder Unicode Strings.

[himitsu]

Abgesehn vom ShortString und vielen CharArrays sind in Delphi auch alle Strings zusätzlich noch #0-terminiert, darum lassen sie sich so schön in PChar umwandeln,

also kann man meißt davon ausgehn, daß ein String vermutlich #0-terminiert sein wird,
allerdings kannst du da im Speicher nicht so einfach rumschreiben, denn du weißt bestimmt nicht, wie die Speicherverwaltung der dynamischen Strukturen aussieht.

[RedShakal]

Die Strings sind in Unicode.

Ich habe mit dem Memory Editor Cheat Engine schon ein bisschen rumgespielt. Man kann die Namen ohne Probleme ändern, verlängern oder kürzen. Ist anscheiend Terminiert

[RedShakal]

*push*

[Fridolin Walther]

Wie vorzugehen ist, ist oben beschrieben. Magst Du etwa vollständigen Source haben?

[RedShakal]

Wenn ich den String wie oben beschrieben auslese, kommen immer Integer werte dabei heraus.

[Fridolin Walther]

Ich weiß ja nicht was Du machst, aber wenn Du es so implementiert hättest, wie von mir geschrieben würd es funktionieren:

Delphi-Quellcode:

function ReadWideStringFromProcessMemory(PID : Cardinal; AddressOfString : Cardinal) : WideString;
var
  ProcessHandle : THandle;
  WideCharRead : WideChar;
  BytesRead : Cardinal;
begin
  Result := '';
  ProcessHandle := OpenProcess(PROCESS_VM_READ, FALSE, PID);
  if ProcessHandle <> INVALID_HANDLE_VALUE then
    begin
      repeat
        ReadProcessMemory(ProcessHandle, Pointer(AddressOfString), @WideCharRead, SizeOf(WideCharRead), BytesRead);
        Inc(AddressOfString, SizeOf(WideCharRead));
        Result := Result + WideCharRead;
      until (Word(WideCharRead) = 0) or (BytesRead <> SizeOf(WideCharRead));
      CloseHandle(ProcessHandle);
    end;
end;

Prozess öffnen, ersten (Wide)Char lesen, an String anhängen, nächsten Char lesen, anhängen usw.. Als Abbruchbedingung dient entweder das terminierende Null-Char oder aber alternativ ein Lesefehler.