如何通过DLL完全暂停程序以开展内存调试

底层原理说明 #

你手动拖拽控制台选中内容触发的进程暂停，本质是Windows控制台子系统（conhost.exe）在快速编辑模式下，挂起了关联进程的所有执行线程与IO线程，直到选中状态退出。以下两种方案可以完全复现该效果，且精度远高于手动操作。

方案1：DLL注入目标进程实现可控暂停 #

该方案适合需要在目标进程内部触发暂停的场景，可在内存修改的关键位置埋点，命中规则时自动暂停，完全匹配你调试内存覆盖问题的需求。
核心实现逻辑：

• 先调用SetConsoleMode关闭目标进程控制台的ENABLE_QUICK_EDIT_MODE标志，避免手动操作干扰自动暂停逻辑
• 枚举当前进程的所有线程，调用SuspendThread批量挂起除当前触发线程外的所有线程
• 可选通过ReadConsoleInput阻塞控制台IO，实现和手动选中完全一致的外部表现
  核心代码示例：

#include <windows.h>
#include <tlhelp32.h>

// 挂起当前进程所有非当前线程
void SuspendTargetProcess() {
    DWORD currentPid = GetCurrentProcessId();
    DWORD currentTid = GetCurrentThreadId();
    HANDLE hThreadSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, 0);
    if (hThreadSnapshot == INVALID_HANDLE_VALUE) return;

    THREADENTRY32 threadEntry = {0};
    threadEntry.dwSize = sizeof(THREADENTRY32);
    if (Thread32First(hThreadSnapshot, &threadEntry)) {
        do {
            if (threadEntry.th32OwnerProcessID == currentPid 
                && threadEntry.th32ThreadID != currentTid) {
                HANDLE hThread = OpenThread(THREAD_SUSPEND_RESUME, FALSE, threadEntry.th32ThreadID);
                if (hThread != NULL) {
                    SuspendThread(hThread);
                    CloseHandle(hThread);
                }
            }
        } while(Thread32Next(hThreadSnapshot, &threadEntry));
    }
    CloseHandle(hThreadSnapshot);

    // 阻塞控制台IO，和手动选中效果完全一致
    INPUT_RECORD inputRecord;
    DWORD readCount;
    ReadConsoleInput(GetStdHandle(STD_INPUT_HANDLE), &inputRecord, 1, &readCount);
}

// 恢复进程所有线程
void ResumeTargetProcess() {
    DWORD currentPid = GetCurrentProcessId();
    HANDLE hThreadSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, 0);
    if (hThreadSnapshot == INVALID_HANDLE_VALUE) return;

    THREADENTRY32 threadEntry = {0};
    threadEntry.dwSize = sizeof(THREADENTRY32);
    if (Thread32First(hThreadSnapshot, &threadEntry)) {
        do {
            if (threadEntry.th32OwnerProcessID == currentPid) {
                HANDLE hThread = OpenThread(THREAD_SUSPEND_RESUME, FALSE, threadEntry.th32ThreadID);
                if (hThread != NULL) {
                    // 多次调用ResumeThread抵消可能的多次挂起计数
                    while(ResumeThread(hThread) > 0);
                    CloseHandle(hThread);
                }
            }
        } while(Thread32Next(hThreadSnapshot, &threadEntry));
    }
    CloseHandle(hThreadSnapshot);
}

你可以在DLL的DllMain中注册内存监控逻辑，比如通过硬件断点检测指定内存地址的写入操作，触发时直接调用SuspendTargetProcess即可，精度可控制到单指令级别。

方案2：独立调试进程实现暂停（无需注入DLL） #

如果不想注入DLL，也可以通过Windows调试API实现对目标进程的暂停控制，核心调用DebugActiveProcess附加到目标进程后，目标进程会立即进入暂停状态，你可以自行设置内存访问断点，命中时自动暂停。
核心代码示例：

#include <windows.h>

BOOL ControlTargetProcess(DWORD targetPid) {
    if (!DebugActiveProcess(targetPid)) {
        return FALSE;
    }
    DebugSetProcessKillOnExit(FALSE); // 调试退出时不杀死目标进程

    DEBUG_EVENT debugEvent = {0};
    while (WaitForDebugEvent(&debugEvent, INFINITE)) {
        // 此处可添加调试事件处理逻辑，比如内存写入事件触发时保留暂停状态
        // 需要恢复时调用 ContinueDebugEvent 即可
        ContinueDebugEvent(debugEvent.dwProcessId, debugEvent.dwThreadId, DBG_CONTINUE);
    }
    return TRUE;
}

内容的提问来源于stack exchange，提问作者Monteven