可以为ReadProcessMemory()挂钩一个事件

Possible to hook an event for ReadProcessMemory()?

本文关键字：一个事件 ReadProcessMemory 更新时间：2023-10-16

是否有可能在win32 API中挂钩调用ReadProcessMemory() ?我想用C或c++来做。

我的意思是，每当另一个进程使用该函数时，它就会在某个时刻带着所有信息绕道到我的回调。

你可以将你的代码注入到每一个运行的进程中，并在调用进程中钩子ReadProcessMemory，就像你对任何其他函数一样，但是你没有办法从目标进程中钩子它。

或者，您可以使用obregistercallback()从内核通过PsProcessType对象类型和OB_OPERATION_HANDLE_CREATE操作过滤来检测OpenProcess()。这将显示需要句柄来调用ReadProcessMemory()的进程。然后，当这些事件从内核触发时，您就可以执行自己的代码了。你也可以从obregistercallback例程中调用用户模式进程。