Поиск сигнатуры в памяти процесса

[Crystallon]

Подскажите самый оптимальный способ поиска сигнатуры в памяти процесса.
Ситуация такая - есть некий процесс в памяти которого есть некая строчка "XXX", нужно произвести поиск этой строчки во всех работающих процессах таким образом определив какой из них наша программа.
Я делаю так:
for i:=1 to количество процессов
1. Создаю полный дамп памяти процесса в файл
2. В полученном файле произвожу поиск нужной строчки
end;

Это решение работает крайне медленно и по этому мне не подходит, как можно сузить область поиска в каждом отдельно взятом процессе?
Может быть можно открыв файл программы которую пытаюсь обнаружить в hex редакторе или какой-нибудь еще программе можно узнать постоянный адрес 1 байта этой самой строчки(думаю это все же нереально, но мало ли) или если узнать регион в котором находится эта строчка то можно ли потом его использовать для сужения области поиска(т.е. искать только в этом регионе)? Про регион спрашиваю т.к. не знаю может ли моя строчка при каких-либо условиях переместится в другой регион.
В общем заранее спасибо за любую информацию по вопросу как можно вышеописанный процесс оптимизировать.

[@san4ez]

Ищи в Hex редакторе нужную сигнатуру>Запоминай адрес>Бери полный список процессов>И ищи в них этот адрес>Совпадает? -выполняй действие
тем более у тебя сигнатура из 3-х символов, % промаха будет очень мал.

[Crystallon]

Сообщение от @san4ez

Ищи в Hex редакторе нужную сигнатуру>Запоминай адрес>Бери полный список процессов>И ищи в них этот адрес>Совпадает? -выполняй действие
тем более у тебя сигнатура из 3-х символов, % промаха будет очень мал.

То есть и в exeшнике и в процессе адрес будет одинаковым? Я просто предполагал что он меняется...
P.S. Помоему при 3 символах шанс промаха какраз таки огромен... Я XXX написал просто для примера, у меня сигнатуры будут побольше т.к. по 3м символам искать по моему бред.

[mss]

и в exeшнике и в процессе адрес будет одинаковым?

Да не будет он одинаковым. Ерунда это полная.

[Человек_Борща]

ТС, а зачем делать дамп и там искать? Это очень медленно. И 1 работу делаете 2 раза.

В вашей теме: http://programmersforum.ru/showthread.php?t=164291 я писал код функции для дампа страницы. Его вполне достаточно.

В дополнение нам не нужно сбрасывать страницы памяти в файл, нужно для каждой страницы делать динам. буфер байт, размер которого будет равен размеру читаемой страницы, и искать байты там.

1. Цикл по страницам памяти
2. Ловим страницы к которым есть доступ(ко всем, с которых можно читать).
2.1. делаем дамп этой страницы в буфер
2.2. ищем заданные байты в этом буфере.
Нашли? - длаем что-то ,ненашли продолжаем цикл.


ВСЕ.

Единственное, что имогу сказать - это то, что есть много способов защитить участки памяти программы от чтения/записи.

[Crystallon]

Даже если не писать в файл это все равно очень медленно... Вот вы говорите "страницы памяти", я так понимаю это тоже самое что и регион? Если я найду в процессе выше описанным способом нужную сигнатуру и запомню регион в которой она находится, если при следующем поиске я буду искать сразу в этом регионе это прокатит? Т.е. если упростить вопрос то - будет ли при следующем запуске процесса сигнатура в том-же регионе или уже в другом?

[Silver_S]

Думаю будет ли сигнатура в том же регионе или нет сказать точно нельзя. Например Если ваша сигнатура находится в коде или глобальных данных программы, то, думаю, ее адрес меняться не будет, но скорее всего он будет меняться при динамическом выделении памяти или загрузке библиотек.
Если адрес сигнатуры меняется, то, возможно, вам поможет Artmoney с поиском указателя на адрес или блок памяти.

[Человек_Борща]

Смотря, что вы ищите, чем ищите и где ищите.
Я предпологаю, что при каждом новом запуске регионы памяти приложения меняются...

Но другого ничего я придумать не смог.

Как вариант, посмотрите исходники CheatEngine(FreePascal) там точно найдёте механизм, которым так быстро ищется что-то в памяти.

[Crystallon]

CheatEngine и вправду ищет быстро...вот только я несколько раз мерезапускал программу, даже для верности выполнял в ней разные действия(ну малоли) и все время адрес вхождения сигнатуры был одинаков, это не может не радовать, осталось разобраться как получить конкретное значение находящееся на конкретном адресе :D