调试内存映射文件

Question

我正在开发一个.NET 程序，它假设使用共享内存（内存映射文件）与同一台机器中的其他现有程序进行通信，现有程序本身包括一个本机dll 和.NET 包装器/桥接器dll 我可以使用它与其他程序进行通信。

问题是其他程序有很多bug，程序的源代码和dll早已不复存在，所以我的目标是重新创建其他程序。我可以反编译.NETdll，但它只是直接P/Invoke本机dll。

幸运的是，我能够使用System.IO.MemoryMappedFiles.MemoryMappedFile 查看内存映射文件，但这就是我得到的全部，我不知道当我从中调用某些函数时dll 从内存映射文件中读取数据的偏移量（大多数当时dll 只做读不写）

我还尝试在 C++ 程序中挂钩 CreateFileMapping、OpenFileMapping 和 MapViewOfFile 并在本机 dll 中调用某些函数，但这些挂钩函数仅在初始化期间调用一次，并且在调用函数时未触发dll 假设从内存映射文件中读取数据。如果我敢猜测，dll 肯定是指向内存映射文件的指针。

所以我的问题是，是否可以设置断点或检测任何进程何时尝试读取/写入内存映射文件的某些区域？例如，我想知道在我的内存映射文件中是否有读取进程或指针指向偏移量0xdeadbeef。我对替代方案持开放态度，所以如果您有更好的想法，请告诉我

Answer 1

我不熟悉内存映射文件，但如果两个进程共享相同的内存，我相信它具有相同的物理地址，如果这是真的，那么您可能可以在内核模式下使用 Cheat Engine。

请记住，它可能会导致系统不稳定或崩溃，因此请确保在继续之前保存您的所有作品。您可以按照以下步骤操作：

1. 首先打开一个程序，确保“共享内存”已创建，然后再进行下一步。
2. 打开作弊引擎，确保在设置->额外中为OpenProcess启用内核模式并在设置->调试器选项中启用内核调试器（否则您将无法观察访问内存的指令）
3. 在作弊引擎中打开进程，选择你在第一步启动的程序
4. 现在扫描作弊引擎内的内存，因为您提到您可以查看内存，取出一些您希望监控的字节，将值类型更改为字节数组并扫描这些字节
5. 扫描结果将出现在左侧窗格中，您可能会发现多个结果，大多数时候只有一个正确的地址，其余的与您扫描的值意外匹配，右键单击并选择浏览此内存区域，使确保周围数据与您的预期相符
6. 回到主窗口，双击正确的，它会出现在底部窗格中，右键单击它并选择“DBVM找出写入或访问此地址的内容”，将出现一个对话框（否则您的系统可能会崩溃） ，最重要的部分是确保那里的物理地址而不是出现在文本框中
7. 选择访问类型，您可以只看写入或同时看读写并点击“开始观看”按钮
8. 每次任何进程尝试访问或写入该内存区域时，列表中都会出现新指令。

在我看来，这个话题接近于逆向工程。既然您愿意接受建议，这是我的另外两分钱：如果您计划重新创建通过共享内存发出数据的现有程序并且您也在开发客户端，为什么不从头开始重新制作它们所以你不必处理这个？

Answer 2

如果知道具体的数据地址，可以使用windbg或x64dbg等调试器设置硬件数据断点。我不确定这将如何与 C# 一起工作，但绝对有可能。

您也可以尝试使用windbg中的时间旅行调试，它记录了程序的整个执行过程，并允许您在写入地址时进行追溯查询。