在WIN32中，每个应用程序都可"看见"4GB的线性地址空间，其中最开始的4MB和最后的2GB由操作系统保留，剩下不足2GB的空间用于应用程序私有空间。具体分配如下：0xFFFFFFFF-0xC0000000的1GB用于VxD、存储器管理和文件系统；0xBFFFFFFF-0x80000000的1GB用于共享的WIN32 DLL、存储器映射文件和共享存储区；0x7FFFFFFF-0x00400000为每个进程的WIN32专用地址；0x003FFFFF-0x00001000为MS-DOS 和 WIN16应用程序；0x00000FFF-0x00000000为防止使用空指针的4,096字节。以上都是指逻辑地址，也就是虚拟内存。虚拟内存通常是由固定大小的块来实现的，在WIN32中这些块称为"页"，每页大小为4,096字节。在Intel CPU结构中，通过在一个控制寄存器中设置一位来启用分页。启用分页时CPU并不能直接访问内存，对每个地址要经过一个映射进程，通过一系列称作"页表"的查找表把虚拟内存地址映射成实际内存地址。通过使用硬件地址映射和页表WIN32可使虚拟内存即有好的性能而且还提供保护。利用处理器的页映射能力，操作系统为每个进程提供独立的从逻辑地址到物理地址的映射，使每个进程的地址空间对另一个进程完全不可见。WIN32中也提供了一些访问进程内存空间的函数，但使用时要谨慎，一不小心就有可能破坏被访问的进程。 <br><br>ReadProcessMemory 读另一个进程的内存，原形如下：<br><br>BOOL ReadProcessMemory(<br><br>HANDLE hProcess, // 被读取进程的句柄；<br><br>LPCVOID lpBaseAddress, // 读的起始地址；<br><br>LPVOID lpBuffer, // 存放读取数据缓冲区；<br><br>DWORD nSize, // 一次读取的字节数；<br><br>LPDWORD lpNumberOfBytesRead // 实际读取的字节数；<br><br>);<br><br>hProcess 进程句柄可由OpenProcess 函数得到，原形如下：<br><br>HANDLE OpenProcess(<br><br>DWORD dwDesiredAccess, // 访问标志；<br><br>BOOL bInheritHandle, // 继承标志；<br><br>DWORD dwProcessId // 进程ID；<br><br>);<br><br>用完别忘了用 CloseHandle 关闭打开的句柄。读另一个进程的内存 dwDesiredAccess 须指定为 PROCESS_VM_READ ，写另一个进程的内存 dwDesiredAccess 须指定为 PROCESS_VM_WRITE ，继承标志无所谓，进程ID可由 Process32First 和 Process32Next 得到，这两个函数可以枚举出所有开启的进程，这样进程的信息也就得到了。 Process32First 和 Process32Next是由 TLHelp32 单元提供的，需在 uses 里加上TLHelp32。ToolsHelp32 封装了一些访问堆、线程、进程等的函数，只适用于Win9x，原形如下：<br><br>BOOL WINAPI Process32First(<br><br>HANDLE hSnapshot //<br><br>由 CreateToolhelp32Snapshot 返回<br><br>的系统快照句柄；<br><br>LPPROCESSENTRY32 lppe // 指向一个 PROCESSENTRY32 结构；<br><br>)；<br><br>BOOL WINAPI Process32Next(<br><br>HANDLE hSnapshot // 由 CreateToolhelp32Snapshot 返回<br><br>的系统快照句柄；<br><br>LPPROCESSENTRY32 lppe // 指向一个 PROCESSENTRY32 结构；<br><br>)；<br><br>hSnapshot 由 CreateToolhelp32Snapshot 返回的系统快照句柄；<br><br>CreateToolhelp32Snapshot 原形如下：<br><br>HANDLE WINAPI CreateToolhelp32Snapshot(<br><br>DWORD dwFlags, // 快照标志；<br><br>DWORD th32ProcessID // 进程ID；<br><br>);<br><br>现在需要的是进程的信息，所以将 dwFlags<br><br>指定为 TH32CS_SNAPPROCESS，<br><br>th32ProcessID 忽略；PROCESSENTRY32 结构如下：<br><br>typedef struct tagPROCESSENTRY32 {<br><br>DWORD dwSize; // 结构大小；<br><br>DWORD cntUsage; // 此进程的引用计数；<br><br>DWORD th32ProcessID; // 进程ID;<br><br>DWORD th32DefaultHeapID; // 进程默认堆ID；<br><br>DWORD th32ModuleID; // 进程模块ID；<br><br>DWORD cntThreads; // 此进程开启的线程计数；<br><br>DWORD th32ParentProcessID;// 父进程ID；<br><br>LONG pcPriClassBase; // 线程优先权；<br><br>DWORD dwFlags; // 保留；<br><br>char szExeFile[MAX_PATH]; // 进程全名；<br><br>} PROCESSENTRY32;<br><br>至此，所用到的主要函数已介绍完,实现读内存只要从下到上依次调用上述函数即可<br>
