搜索内存数据(二)

1. Public Function SearchMem(hProcess As Long, strSearch As String, Optional spos As Long = &H400000) As Long
2.     Dim i As Long, j As Long, count As Long, nLength As Long
3.     Dim r As Long, mbi As MEMORY_BASIC_INFORMATION
4.     Dim lpAddress As Long, ubs As Long, RSize As Long, lMax As Long
5.     Dim bSearch() As Byte
6.     Dim sp() As String
7.     Dim lpBuffer() As Byte
8.     Dim si As SYSTEM_INFO
9.      
10.     GetSystemInfo si
11.     lMax = si.lpMaximumApplicationAddres
12.  '将我们的搜索的内容转换成为一个Byte数组
13.     '搜索支持数据串,每个数据用空格分开
14.     sp = Split(strSearch, " ")
15.     nLength = UBound(sp)
16.     ReDim bSearch(nLength)
17.     For i = 0 To nLength
18.         bSearch(i) = Val("&H" & sp(i)) And &HFF '防止溢出错误
19.     Next
20.      
21.     SearchMem = 0
22.     lpAddress = spos     '以 10000 作为起点
23.     ubs = UBound(bSearch)
24.     bSearching = True
25.     r = VirtualQueryEx(hProcess, lpAddress, mbi, Len(mbi))
27.     '将7F000000作为搜索结束地址
28.     Do While (r And (lpAddress < lMax) And bSearching)
29.         DoEvents
30.         '只搜索可读取的已提交的内存区域
31.         If (mbi.Protect And PAGE_READWRITE) And (mbi.State = MEM_COMMIT) Then
32.             RSize = mbi.RegionSize
33.             ReDim lpBuffer(RSize - 1)
35.             ReadProcessMemory hProcess, mbi.BaseAddress, lpBuffer(0), RSize, 0
36.              
37.             count = RSize - 1 - ubs
38.             For i = 0 To count '防止越界
39.                 DoEvents
40.                 '逐个字节比较,如果有任何一个不相等,则不再比较其它
41.                 For j = 0 To ubs
42.                     DoEvents
43.                     If bSearch(j) <> lpBuffer(i + j) Then GoTo 10
44.                 Next
45.                 '全部相等，返回地址
46.                 bSearching = False
47. '                Debug.Print Hex(i + lpAddress)
48.                 SearchMem = i + lpAddress
49.                 Exit Function
50. 10:
51.             Next
52.         End If
53.         lpAddress = lpAddress + RSize
54.         r = VirtualQueryEx(hProcess, lpAddress, mbi, Len(mbi))
55.     Loop
57.     bSearching = False
58.     SearchMem = 0
59. End Function