如何從Windows中的內核模式找到進程使用的內存

Question

我試圖獲取內核模式下的進程使用的內存。我試過GetProcessMemoryInfo API通過PSAPI.h。但這是一個USER模式功能，它不會給我數據。

是否有任何其他方式來獲取內存細節？

Answer 1

你需要使用ProcessVmCounters和ProcessIoCounters與ZwQueryInformationProcess或NtQueryInformationProcess依賴於以前的模式

ULONG rcb; 
union { 
    VM_COUNTERS vmc; 
    VM_COUNTERS_EX vmcex; 
}; 
IO_COUNTERS ioc; 
ZwQueryInformationProcess(NtCurrentProcess(), ProcessVmCounters, &vmc, sizeof(vmc), &rcb); 
ZwQueryInformationProcess(NtCurrentProcess(), ProcessVmCounters, &vmcex, sizeof(vmcex), &rcb); 
ZwQueryInformationProcess(NtCurrentProcess(), ProcessIoCounters, &ioc, sizeof(ioc), &rcb);