调用 ReadProcessMemory 时导致引用设置为 null 的奇怪行为

Question

当我通过这个 P/Invoke 签名在 C# 中调用 ReadProcessMemory 时遇到了一些非常奇怪的行为：

[DllImport("kernel32.dll", SetLastError = true)]
[return: MarshalAs(UnmanagedType.Bool)]
public static extern bool ReadProcessMemory(
    IntPtr hProcess,
    IntPtr lpBaseAddress,
    [Out] byte[] lpBuffer,
    int dwSize,
    out int lpNumberOfBytesRead
    );

---

在我的应用程序中，我正在扫描具有读写访问权限的内存区域的整个内存（并应用了更多过滤器，不过这是另一部分）。

扫描部分的代码是这样的：

int numberOfBytes;
if (!NativeMethods.ReadProcessMemory(handle, region.StartAddress,
    buffer, (int)region.RegionSize, out numberOfBytes))
// The handle, region (custom struct containing some fields from the
// MEMORY_BASIC_INFORMATION struct), and buffer come from parameters.

而且代码运行良好。它扫描整个内存以查找字节序列。没有问题。

---

在我的程序流程中更进一步，我有以下代码：
注意：它使用与之前的代码相同的句柄 IntPtr（检查过），它在同一个线程中运行

int bytesRead;
byte[] buffer = new byte[128]; // In my real app this is some calculated value
                            // however that irrelevant. It's calculated 128.
if (!NativeMethods.ReadProcessMemory(handle, location.Location,
    buffer, buffer.Length, out bytesRead))
    continue; // Error while reading
// At this point buffer == null, so the next line causes an exception
if (bytesRead != buffer.Length) continue;

代码非常相似，但由于某种原因，对缓冲区的引用丢失并且缓冲区被设置为空。如果它不是外部调用，我会 100% 确定这是一个错误，因为缓冲区没有作为 ref 或 out 参数传递。但是我知道 .NET 在涉及外部调用（例如编组）时会做一些伏都教的事情。

让情况更奇怪的是，当我将代码替换为：

int bytesRead;
byte[] buffer = new byte[128];
byte[] bufferRef = buffer;
if (!NativeMethods.ReadProcessMemory(handle, location.Location,
    buffer, buffer.Length, out bytesRead))
    continue; // Error while reading
buffer = bufferRef;
if (bytesRead != buffer.Length) continue;

代码简单有效。内存读取和所有！所以发生的所有事情是，由于某种原因，buffer 变量失去了对实际缓冲区的引用。它把我搞糊涂了。

---

这种行为是否是由于我做错了什么（例如错误的 P/Invoke）造成的，是否危险（内存泄漏？），并且可以解释？

---

我的配置：

• .NET Framework 4.0
• Visual Studio Professional 2012（版本 11.0.51106.01 更新 1）
• 已安装 .NET Framework 4.5.50709
• 以管理员身份运行
• 在发布版本和调试版本中都发生，包括在 Visual Studio 宿主可执行文件和常规构建可执行文件中。
• Windows 7 64 位
• 我正在从中读取内存的进程是 32 位的
• 构建配置：平台：任何 CPU

---

编辑：我正在使用的完整 NativeMethods 类可以在这里找到：http://paste2.org/p/2770271

Edit2：我添加了解决问题所遵循的简单步骤作为答案，可以在here找到。

Answer 1

可能由于您是 64 位应用程序，您的 lpNumberOfBytesRead 应该是“长”的，因此对 ReadProcessMemory 的调用会在返回时覆盖（您的一部分）缓冲区指针。

Answer 2

在您的 ReadProcessMemory 导入中声明的 byte[] lpBuffer 的 OutAttribute （这是 _Out_ LPVOID lpBuffer 的正确移植）指定数据应该从被调用者封送回调用者......所以您的字节数组可能被空引用由被调用者本身（Kernel32）。

Answer 3

由于Hans Passant 和500 - Internal Server Error（我将其标记为已接受答案）的提示，我设法解决了问题。

这些是我采取的步骤：

1. 我选择使用 32 位而不是任何 CPU。 （主要是为了向后兼容。）
2. 然后我使用 MSDN 页面更新了 P/Invoke 签名，用于函数和 this 页面关于 windows 数据类型。并选择了签名的 32 位变体。
3. 我再次运行代码，缓冲区引用没有被清除。

感谢您的帮助。

Answer 4

不要将byte[] buffer 标记为[Out] 参数。它更类似于ref 而不是out，因为它是一个字节数组，所以已经隐含了。由于整数（此处为int）是一种值类型，因此它需要out 参数用于numberOfBytesRead。那是唯一应该用out标记的。

当某物被标记为out 参数时，Marshal 类期望被调用者（此处为ReadProcessMemory）返回一个值。字节数组只是指向内存中包含字节的位置的指针（地址）。您不希望被调用者写入此指针。