虚拟内存遍历 VMView

最新推荐文章于 2024-08-01 14:48:20 发布
最新推荐文章于 2024-08-01 14:48:20 发布
阅读量963 收藏 1
点赞数
分类专栏： 学习笔记 文章标签： 虚拟内存遍历 遍历虚拟内存 虚拟内存
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/cyxvc/article/details/49282291
版权

本代码由15PB创始人A1Pass原创，网络资源稀少，转载请注明出处，尊重作者劳动成果！


VMQuery.h：

#pragma once
#include <windows.h>
#include <vector>
using std::vector;

typedef struct _VMQUERYEX
{
    int    nRgnSize;       // 预定区域大小
    DWORD  dwRgnStorage;   // 预划分区域的物理存储器类型（MEM_*: Free, Image, Mapped, Private）
    DWORD  dwRgnBlocks;    // 区域中块的数量
    DWORD  dwRgnGuardBlks; // 具有PAGE_GUARD保护属性的块的数量，如果>0，则此区域是为线程栈而预定的
    BOOL   bRgnIsAStack;   // 此区域是否包含线程栈，是的话则此区域是为线程栈而预定的
}VMQUERYEX;

typedef struct _VMQUERY
{
    // 区域信息
    PVOID  lpRgnBaseAddress; // 预划分内存区域的起始地址
    DWORD  dwRgnProtection;  // 预划分此内存区域时的原始保护属性（PAGE_*）
    int    nRgnSize;         // 预划分区域大小
    DWORD  dwRgnStorage;     // 预划分区域的物理存储器类型（MEM_*: Free, Image, Mapped, Private）
    DWORD  dwRgnBlocks;      // 预划分区域中块的数量
    DWORD  dwRgnGuardBlks;   // 具有PAGE_GUARD保护属性的块的数量，如果>0，则此区域是为线程栈而预定的
    BOOL   bRgnIsAStack;     // 此区域是否包含线程栈，是的话则此区域是为线程栈而预定的

    // 块信息
    PVOID  lpBlkBaseAddress; // 内存块的起始地址
    DWORD  dwBlkProtection;  // 内存块的保护属性（PAGE_*）
    int    nBlkSize;         // 内存块的大小
    DWORD  dwBlkStorage;     // 内存块的存储类型（MEM_*: Free, Reserve, Image, Mapped, Private）

    // 文本信息
    BOOL   bIsExpandInfo;        // 此条信息是否为区域展开后的块信息
    WCHAR  szRgnBaseAddress[16]; // [文本]预划分内存区域的起始地址
    WCHAR  szRgnProtection[16];  // [文本]原始保护属性
    WCHAR  szRgnSize[16];        // [文本]区域大小
    WCHAR  szRgnStorage[16];     // [文本]物理存储器类型
    WCHAR  szRgnBlocks[8];       // [文本]块的数量
    WCHAR  szRgnGuardBlks[8];    // [文本]具有PAGE_GUARD保护属性的块的数量

    WCHAR  szBlkBaseAddress[10]; // [文本]内存块的起始地址
    WCHAR  szBlkProtection[16];  // [文本]内存块的保护属性
    WCHAR  szBlkSize[16];        // [文本]内存块的大小
    WCHAR  szBlkStorage[16];     // [文本]内存块的存储类型
} VMQUERY, *PVMQUERY;

class CVMQuery
{
public:
    CVMQuery();
    ~CVMQuery();
public:
    BOOL GetVMInfo(HANDLE hProcess, LPCVOID lpAddress, PVMQUERY pVMQ);

protected:
    BOOL GetVMBlockInfo(HANDLE hProcess, LPCVOID lpAddress, VMQUERYEX *pVMBlock);
    void GetProtectText(DWORD dwProtect, PTSTR szBuf, int nSize, BOOL bShowFlags);
    void GetMemStorageText(DWORD dwStorage, PTSTR szBuf, int nSize);
private:
    vector<VMQUERY> m_vecVMInfoList;
};


VMQuery.cpp： 

#include "stdafx.h"
#include "VMQuery.h"
#include <Strsafe.h>

CVMQuery::CVMQuery()
{
}

CVMQuery::~CVMQuery()
{
}

void CVMQuery::GetProtectText(DWORD dwProtect, PTSTR szBuf, int nSize, BOOL bShowFlags)
{
    PCTSTR p = L"[Unknown]";
    switch ( dwProtect & ~(PAGE_GUARD|PAGE_NOCACHE|PAGE_WRITECOMBINE) )
    {
    case PAGE_READONLY:          p = L"[ -R--  ]"; break;
    case PAGE_READWRITE:         p = L"[ -RW-  ]"; break;
    case PAGE_WRITECOPY:         p = L"[ -RWC  ]"; break;
    case PAGE_EXECUTE:           p = L"[ E---  ]"; break;
    case PAGE_EXECUTE_READ:      p = L"[ ER--  ]"; break;
    case PAGE_EXECUTE_READWRITE: p = L"[ ERW-  ]"; break;
    case PAGE_EXECUTE_WRITECOPY: p = L"[ ERWC  ]"; break;
    case PAGE_NOACCESS:          p = L"[ ----  ]"; break;
    }
    StringCchCopy(szBuf, nSize, p);

    if (bShowFlags)
    {
        StringCchCat(szBuf, nSize, L" ");
        StringCchCat(szBuf, nSize, (dwProtect&PAGE_GUARD) ? L"G":L"-");
        StringCchCat(szBuf, nSize, (dwProtect&PAGE_NOCACHE) ? L"N":L"-");
        StringCchCat(szBuf, nSize, (dwProtect&PAGE_WRITECOMBINE) ? L"W":L"-");
    }
}

void CVMQuery::GetMemStorageText(DWORD dwStorage, PTSTR szBuf, int nSize)
{
    PCTSTR p = L"Unknown";
    switch (dwStorage)
    {
    case MEM_FREE:    p = L"Free   "; break; // 闲置：未被预订的区域
    case MEM_RESERVE: p = L"Reserve"; break; // 预订：已预订区域
    case MEM_IMAGE:   p = L"Image  "; break; // 映像：保存执行映像
    case MEM_MAPPED:  p = L"Mapped "; break; // 映射：文件映射区域
    case MEM_PRIVATE: p = L"Private"; break; // 私有：数据保存在页交换文件中的区域
    }
    StringCchCopy(szBuf, nSize, p);
}

// 将区域内的块信息保存到VMQUERY_HELP中
BOOL CVMQuery::GetVMBlockInfo(HANDLE hProcess, LPCVOID lpAddress, VMQUERYEX *pVMBlock)
{
    ZeroMemory(pVMBlock, sizeof(*pVMBlock));
    // 1. 获取地址空间中内存地址信息，并将其保存到 MEMORY_BASIC_INFORMATION 结构体中
    MEMORY_BASIC_INFORMATION mbiRgn;
    if ( !( VirtualQueryEx(hProcess,lpAddress,&mbiRgn,sizeof(mbiRgn)) == sizeof(mbiRgn) ) )
        return false; // 错误的内存地址

    // 2. 保存基地址与第一个内存块的基址
    PVOID pvRgnBaseAddress = mbiRgn.AllocationBase; // 预划分内存区域基址
    PVOID pvAddressBlk     = mbiRgn.AllocationBase; // 第一个内存块的基址

    // 3. 循环遍历此区域内的内存块，并统计其个数及总大小
    MEMORY_BASIC_INFORMATION mbiBlk;
    while (true)
    {
        // 3.1 获取内存块的相关信息
        if ( !( VirtualQueryEx(hProcess,pvAddressBlk,&mbiBlk,sizeof(mbiBlk)) == sizeof(mbiBlk) ) )
            break;
        // 3.2 判断是否需要结束循环，如果此数据块的基址仍等于此内存区域的基址，则代
        //     表此数据块是属于此区域内的（继续循环），否则则代表此内存块是其他内存
        //     区域的（结束循环）
        // 注1：使用MEM_RESERVE方式调用VirtualAlloc即可预定内存区域
        // 注2：使用MEM_COMMIT方式调用VirtualAlloc即可分配内存块
        if (mbiBlk.AllocationBase != pvRgnBaseAddress)
            break;
        // 3.3 累加此预划分内存区域内的内存块数量 、预划分域的总大小与具有PAGE_GUARD
        //     保护属性的块的数量
        pVMBlock->dwRgnBlocks++;                 // 内存块数量加1
        pVMBlock->nRgnSize += mbiBlk.RegionSize; // 将此内存块的体积纳入到此内存区域中
        if ( (mbiBlk.Protect&PAGE_GUARD)==PAGE_GUARD ) 
            pVMBlock->dwRgnGuardBlks++;      // 统具有PAGE_GUARD保护属性的块的数量
        // 3.4 保存此内存块的理存储器类型
        // 注1：由于内存块可以从MEM_IMAGE转换到MEM_PRIVATE，或从MEM_MAPPED转换到
        //      MEM_PRIVATE，也就是说如果预划分内存区域如果为MEM_PRIVATE的话，那么此
        //      内存区域的数据块就可以是任意的内存类型，我们就可以认为在这里取到的内
        //      存块的类型信息是有效的，当然，这一切都只是一种合理的猜测，实际上内存
        //      块在实际使用时完全有可能并非是我们获取到的类型
        if ( MEM_PRIVATE == mbiRgn.Type )
            pVMBlock->dwRgnStorage = mbiBlk.Type;
        // 3.5 获取下一个内存块的基址
        pvAddressBlk = (PVOID)((PBYTE)pvAddressBlk+mbiBlk.RegionSize);
    }

    // 设置栈标志位
    // 注1：具有PAGE_GUARD保护属性的块的数量大于0，则此区域是为线程栈而预定的
    pVMBlock->bRgnIsAStack = (pVMBlock->dwRgnGuardBlks > 0);

    return(TRUE);
}

BOOL CVMQuery::GetVMInfo(HANDLE hProcess, LPCVOID lpAddress, PVMQUERY pVMQ)
{
    // 1. 清空结构体
    ZeroMemory(pVMQ, sizeof(*pVMQ));

    // 2. 获取地址空间中内存地址信息，并将其保存到 MEMORY_BASIC_INFORMATION 结构体中
    MEMORY_BASIC_INFORMATION mbi;
    if ( !( VirtualQueryEx(hProcess,lpAddress,&mbi,sizeof(mbi)) == sizeof(mbi) ) )
        return false;

    // 3. 填写区域成员信息
    VMQUERYEX VMQHelp;
    switch (mbi.State) {
    case MEM_FREE:     /** 空闲块（不保留） **********************************/
        pVMQ->lpRgnBaseAddress = mbi.BaseAddress;
        // 由于空闲块的mbi.Protect是无效的，因此这里将使用此内存块分配时的保护属性
        pVMQ->dwRgnProtection  = mbi.AllocationProtect;
        pVMQ->nRgnSize         = mbi.RegionSize;
        pVMQ->dwRgnStorage     = MEM_FREE;
        pVMQ->dwRgnBlocks      = 0;
        pVMQ->dwRgnGuardBlks   = 0;
        pVMQ->bRgnIsAStack     = FALSE;
        break;
    case MEM_RESERVE:  /** 在虚拟内存中保留虚拟地址，但并不分配实际物理内存 **/
        pVMQ->lpRgnBaseAddress = mbi.AllocationBase;
        // 由于未提交块的mbi.Protect是无效的，因此这里将使用此内存块分配时的保护属性
        pVMQ->dwRgnProtection  = mbi.AllocationProtect;
        // 迭代获取所有块的详细信息        
        GetVMBlockInfo(hProcess, lpAddress, &VMQHelp);
        pVMQ->nRgnSize         = VMQHelp.nRgnSize;
        pVMQ->dwRgnStorage     = VMQHelp.dwRgnStorage;
        pVMQ->dwRgnBlocks      = VMQHelp.dwRgnBlocks;
        pVMQ->dwRgnGuardBlks   = VMQHelp.dwRgnGuardBlks;
        pVMQ->bRgnIsAStack     = VMQHelp.bRgnIsAStack;
        break;
    case MEM_COMMIT:   /** 保留且分配物理地址 ********************************/
        pVMQ->lpRgnBaseAddress = mbi.AllocationBase;
        pVMQ->dwRgnProtection  = mbi.AllocationProtect;
        // 迭代获取所有块的详细信息          
        GetVMBlockInfo(hProcess, lpAddress, &VMQHelp);
        pVMQ->nRgnSize         = VMQHelp.nRgnSize;
        pVMQ->dwRgnStorage     = VMQHelp.dwRgnStorage;
        pVMQ->dwRgnBlocks      = VMQHelp.dwRgnBlocks;
        pVMQ->dwRgnGuardBlks   = VMQHelp.dwRgnGuardBlks;
        pVMQ->bRgnIsAStack     = VMQHelp.bRgnIsAStack;
        break;
    default:
        DebugBreak();
        break;
    }

    // 4. 解析为文本信息
    GetProtectText(pVMQ->dwRgnProtection, pVMQ->szRgnProtection, _countof(pVMQ->szRgnProtection), true);
    GetMemStorageText(pVMQ->dwRgnStorage, pVMQ->szRgnStorage, _countof(pVMQ->szRgnStorage));

    StringCchPrintf(pVMQ->szRgnBaseAddress,_countof(pVMQ->szRgnBaseAddress), L"0x%08x", pVMQ->lpRgnBaseAddress );
    StringCchPrintf(pVMQ->szRgnSize,       _countof(pVMQ->szRgnSize),        L"%10d",   pVMQ->nRgnSize );
    StringCchPrintf(pVMQ->szRgnBlocks,     _countof(pVMQ->szRgnBlocks),      L"%3d",    pVMQ->dwRgnBlocks );

    return true;
}


VMView.cpp： 

// VMView.cpp : 定义控制台应用程序的入口点。
//

#include "stdafx.h"
#include "VMQuery.h"

bool ShowVM(DWORD dwProcessId)
{
    CVMQuery objVM;
    HANDLE   hProcess  = OpenProcess(PROCESS_QUERY_INFORMATION, FALSE, dwProcessId);
    PVOID    lpAddress = NULL;
    VMQUERY  stcVMQ    = {0};
    while ( objVM.GetVMInfo(hProcess, lpAddress, &stcVMQ) )
    {
        wprintf(L"%s %s %s %s %s\n",
            stcVMQ.szRgnBaseAddress,
            stcVMQ.szRgnStorage,
            stcVMQ.szRgnSize,
            stcVMQ.szRgnBlocks,
            stcVMQ.szRgnProtection);

        lpAddress = ((PBYTE)stcVMQ.lpRgnBaseAddress + stcVMQ.nRgnSize);
        ZeroMemory(&stcVMQ,sizeof(VMQUERY));
    }

    CloseHandle(hProcess);
    return true;
}

int _tmain(int argc, _TCHAR* argv[])
{
    ShowVM( GetCurrentProcessId() );
    system("pause");
    return 0;
}


这段代码没获取块内信息  只获取了块的大小和数量（需要自己拓展获取块信息）


cyxvc
关注
专栏目录
VMware View（六）——VMware View客户端初体验
挨踢小二郎
11-27 2621
好吧，在部署了资源池之后，忍不住想先一睹这VMware Desktop的“芳容”，不管其他，先在客户端上体验一下吧。 提供虚拟桌面的虚拟机克隆完成，可以进行体验了， 体验之前需要安装VMware View Client，打开安装包， 安装步骤一般化，下一步， 霸王条款，下一步， 功能全部选择，下一步， 配置服务器，这里填写View Con
【操作系统笔记五】内存布局&内存映射
川峰的博客
09-20 473
操作系统笔记之虚拟内存布局和内存映射相关内容。
使用VirtualQuery查询虚拟内存分配
宇文的专栏
03-15 7789
#include "iostream.h"#include "windows.h"VOID * pAddress=NULL;char path[512]={0};MEMORY_BASIC_INFORMATION t; main(){ DWORD dwResult=VirtualQuery(pAddress,&t,sizeof(MEMORY_BASIC_INFORMA
C++ 遍历目标进程的内存区域信息并输出相关信息
最新发布
修也
08-01 92
【代码】C++ 遍历目标进程的内存区域信息并输出相关信息。
linux内存模块遍历实现,【手游开发篇】IOS系统下进程模块的遍历
weixin_42360783的博客
05-06 544
一、背景如前面《Android系统下进程模块的遍历》所述，模块遍历是一种很常见的需求，不同的是实现方式。Android的底层是linux操作系统，可以通过proc虚拟文件系统获取进程的状态等信息;而IOS的底层是Darwin系统，并没有提供proc虚拟文件系统的功能。那么，该怎样获取进程加载模块的信息呢?这里有两种方法。下面分别介绍。二、进程模块遍历的实现方式1. 从内存中的dyld模块内容中获取...
Windows API笔记（五）管理虚拟内存
David
05-08 2332
Windows API笔记（一）内核对象 Windows API笔记（二）进程和进程间通信、进程边界 Windows API笔记（三）线程和线程同步、线程局部存储 Windows API笔记（四）win32内存结构 Windows API笔记（五）虚拟内存 Windows API笔记（六）内存映射文件 Windows API笔记（七）堆 Windows API笔记（八）文件系统 Windows A...
CPU虚拟化技术及QEMU/KVM虚拟机安装实践
tugouxp的专栏
11-21 5760
计算机可虚拟化的原因是因为计算机是一个离散的系统，由于资源有限，计算机只能描述有限数量的事务，只能计算到某个固定数，然后就会用尽计算机上的所有东西。在离散系统上，让另外一个事务去虚拟化一个已经存在的事物，只不过是复制创造一个和已存在事务完全一样的事件序列。现代物理告诉我们，我们的宇宙是离散和有限的，人们首先发现了自然数，接着是0，然后又发现了自然数的对立面负数，进而宣告整数的发现。后来人们觉得整数还是不够用，就发明了比例，也就是分数，所有之前发现的数在一起构成有理数集合。
内存管理
逆向学习
09-20 213
堆管理 //创建一个堆，第三个参数为零代表会自动增长的堆 HANDLE hHeap = HeapCreate(0, 0, 0); SYSTEM_INFO si; //系统信息 GetSystemInfo(&si); // 获取系统信息 //在堆上分配3个页面大小的内存 LPVOID lpMem = HeapAlloc(hHeap, HEAP_ZERO_ME...
嵌入式和服务器Linux系统下free -m Memory统计信息解析(VSS/RSS/PSS/USS)
tugouxp的专栏
08-07 1189
由于MAP_SHARED FLAG的匿名页面，用的vm_ops是shmem_vm_ops，其PAGE FAULT中是从SHMEM分配页面的，其调用路径上的关键函数shmem_add_to_page_cache：将分配的页面增加到了NR_FILE_PAGES和NR_SHMEM上面：所以可以得到，SHARED的确实是BUFF/CACHE的一部分，不是USED的一部分，最早的说法更对。
从DbgView探究Windows内存管理笔记
0xDQ的博客
04-29 899
0x00 前言 讲内存管理单纯的理论比较空洞，所以本文从探究DebugVeiw的内存分布开始，来探究windows系统的内存管理。 因为windows内存管理使用的是二叉树来实现的，所以在开始探究之前，可以先去了解二叉树这一数据结构。 ...
VMware View 5.0从基本一步步的搭建
09-18
vmware 快速部署指南，view虚拟桌面从基础起，学习vmware view 的指导资料
VC++获取内存信息例子
08-16
Vc++6.0 获取系统内存信息，内存占用情况
申请内存区别new malloc HeapAlloc VirtualAlloc
04-23
申请内存区别new malloc HeapAlloc VirtualAlloc，很多时候内存分配影响着程序性能，本例通过源代码显示这几个函数的本质。
从VM View5看虚拟客户端应用
weixin_34395205的博客
03-25 72
云平台的倡导者VM又推出新的VM View5 产品，该解决方案采用Cisco PoE交换机供电技术和高速访问接入，采用PC-over-IP（PCoIP）技术可以达到720P的视频输出，而且通过VMware View Security Server可以实现增强型远程访问，这种访问方式更加安全，因为用户的数据存储在刀片机架的虚拟隔离空间，另外改进的配置管理也让用户对系统和软件的设...
VMware View 5.0从菜鸟到高手系列 1 -环境准备篇
kepa520的博客
11-07 675
整个实验环境所需要的虚拟机机器列表，包括机器名称、IP和所安装所需软件如下表：  服务器角色 操作系统 机器名 IP地址 所需安装介质 Connection Server Windows Server 2003 x86 view.vmware.com 1
VMView 5.1：Failed to relocate disposable (waited 0 seconds)
iteye_13695的博客
07-30 680
bill007.blog.51cto.com/1352815/859729 写道 故障状态 在View 5.0环境中执行Composer重新部署的时候提示如下错误信息： 克隆后desktop的状态为error，点开如下：View Composer agent initialization state error (9): Failed to relocate disposable (waite...
获取内存中块的信息（VirtualQuery）
萧戈的专栏
11-28 7117
 Retrieves information about a range of pages in the virtual address space of the calling process. To retrieve information about a range of pages in the address space of another process, use the
VMware View环境的搭建---VMware View 4.5搭建过程（1）
weixin_34088598的博客
02-19 305
下面我们将以搭建一个典型的测试环境为例介绍如何安装VMware View 4.5。 整个测试环境的拓扑如图3所示，我们需要安装的服务器主要有： 1. Windows域控制器。 2. Windows WSUS服务器：更新域内每台客户端和服务器的补丁。 3. RSA服务器：为额外安全需求增加的验证服务器。 4. SQL Server 2...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值