ReadProcessMemory

　函数功能描述:该函数用来读取指定进程的空间的数据,此空间必须是可以访问的,否则读取操作会失败!函数原型
　　BOOL ReadProcessMemory(
　　 HANDLE hProcess, // 目标进程句柄
　　 LPCVOID lpBaseAddress, // 读取数据的起始地址
　　 LPVOID lpBuffer, // 存放数据的缓存区地址
　　 DWORD nSize, // 要读取的字节数
　　 LPDWORD lpNumberOfBytesRead // 实际读取数存放地址
　　);
　　参数
　　hProcess
　　 目标进程的句柄，该句柄必须对目标进程具有PROCESS_VM_READ 的访问权限。
　　lpBaseAddress
　　 从目标进程中读取数据的起始地址。在读取数据前，系统将先检验该地址的数据是否可读，如果不可读，函数将调用失败。
　　lpBuffer
　　 用来接收数据的缓存区地址。
　　nSize
　　 从目标进程读取数据的字节数。
　　lpNumberOfBytesRead
　　 实际被读取数据大小的存放地址。如果被指定为NULL,那么将忽略此参数。
　　返回值
　　 如果函数执行成功，返回值非零。
　　如果函数执行失败，返回值为零。调用 GetLastError 函数可以获取该函数执行错误的信息。
　　如果要读取一个进程中不可访问空间的数据，该函数就会失败。
　　
　　备注
　　 ReadProcessMemory 函数从目标进程复制指定大小的数据到自己进程的缓存区，任何拥有PROCESS_VM_READ 权限句柄的进程都可以调用该函数，目标进程的地址空间很显然要是可读的，但也并不是必须的，如果目标进程处于被调试状态的话。
　　使用环境[包括适合WINDOWS的版本、所需头文件、所需链接库]

　　读取内存流程
　　
　　1.获得程序的句柄---->findwindow
　　2.获得进程ID---->GetWindowThreadProcessId
　　3.获得进程句柄---->OpenProcess
　　4.内存操作(读取写放)---->ReadProcessMemory

修改一个程序的过程如下：1、获得进程的句柄 2、以一定的权限打开进程 3、调用ReadProcessMemory读取内存，WriteProcessMemory修改内存，这也是内存补丁的实现过程。下面贴出的是调用ReadProcessMemory的例程

#include <windows.h>
#include <tlhelp32.h>
BOOL CALLBACK EnumChildWindowProc(HWND hWnd,LPARAM lParam);//枚举记事本中的子窗口
char mess[999999];
int WINAPI WinMain(HINSTANCE hInstance,HINSTANCE hPrevInstance,LPSTR lpCmdLine,int nShowCmd)
{
    HWND nphWnd=::FindWindow("notepad",NULL);
    if(nphWnd)
    {
        char temp[1024];
        PROCESSENTRY32 pe32;
        pe32.dwSize=sizeof(pe32);
        HANDLE hProcessSnap=::CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);//获得进程列表的快照，第一个参数可以有其他选项，详细请参考MSDN
        if(hProcessSnap==INVALID_HANDLE_VALUE)
        {
            ::MessageBox(NULL,"CreateToolhelp32Snapshot error","error",MB_OK);
            return 0;
        }
        HANDLE hProcess;
        BOOL bMore=::Process32First(hProcessSnap,&pe32);//获得第一个进程的信息
        while(bMore)
        {
            ::wsprintf(temp,"%s",pe32.szExeFile);
            if(!::strcmp(temp,"Maxthon.exe"))
            {
                hProcess=::OpenProcess(PROCESS_ALL_ACCESS,false,(DWORD)pe32.th32ProcessID);
                if(hProcess==NULL)
                {
                    ::wsprintf(temp,"%s","打开进程失败!");
                    ::strcat(mess,temp);
                }
                else
                {
                    ::wsprintf(temp,"%s","打开进程成功!");
                    ::strcat(mess,temp);
                    //读取内存中内容
                    int tmp;
                    DWORD dwNumberOfBytesRead;
                    if(!::ReadProcessMemory(hProcess,(LPCVOID)0x00400000,&tmp,4,&dwNumberOfBytesRead))
                    {
                        ::wsprintf(temp,"%s","读取失败");
                        ::strcat(mess,temp);
                    }
                    else
                    {
                        ::wsprintf(temp,"%x",tmp);
                        ::strcat(mess,temp);
                    }
                }
                break;
            }
            bMore=::Process32Next(hProcessSnap,&pe32);//获得其他进程信息
        }
        ::EnumChildWindows(nphWnd,EnumChildWindowProc,0);//获得记事本的edit窗口，打印进程信息
        return 0;
    }
    else
    {
        ::MessageBox(NULL,"please open notepad","error",MB_OK);
        return 0;
    }
}
BOOL CALLBACK EnumChildWindowProc(HWND hWnd,LPARAM lParam)
{
    char temp1[256];
    if(hWnd)
    {
        ::GetClassName(hWnd,temp1,255);
        if(!::strcmp(temp1,"Edit"))//得到edit子窗口句柄
        {
            ::SendMessage(hWnd,WM_SETTEXT,0,(LPARAM)mess);
            return 0;
        }
    }
    return true;
}

程序读取400000地址4个字节的数据，对于exe文件，也就是PE文件，读出来的内容永远都是905a4d，翻译成ASCII字符也就是“MZ”，下面要进行的就是调用WriteProcessMemory修改内存的内容了，具体程序放在下篇文章中