直接修改托管堆栈中的type object pointer（类型对象指针）

都知道.NET是一个强对象类型的框架。

那么对于对象类型又是怎么确定的呢。

最初的我简单认为数据的类型就是定义时字段的类型修饰决定的（回来发现这种观点是绝对错误的）

我们知道引用对象存储在托管堆栈中，而变量本身是存储着对象的地址的。而对象的类型到底是存储在什么地方的呢。

先看一段简单的代码

private static void Gt()
        {

            dynamic dyn = (object)(new int[] { 1, 2, 3, 4, 5, 6, 7 });
            object obj = new int[] { 1, 2, 3, 4, 5, 6, 7 };

            Console.WriteLine(dyn.GetType());
            Console.WriteLine(obj.GetType());
            
        }

运行结果是clr都获得了数据的实际类型，并不是我定义的那样。

 

 

这个取自<CLRViaCS.第3版>，可以看到数据前面会存储着表示类型的指针

 

这样的描述还是很让我吃惊的，所有专门做了实验验证书中内容。

首先我们知道计算机的内存我们是可以修改的，只要在程序运行中修改这个type object pointer，是不是就可以骗过CLR让他对数据类型的判断失误呢。

按这个思路我们首先得有修改内存的工具，我这里使用的winhex，借助winhex打开当前进程的内存

 

 

找到目标数据（我这里使用的是一个string，一个int[]）,疑似type object pointer我已经用红框标记出来了，现在修改这个值，winhex可以直接修改内存的2进制数据

简单的修改其中一个改成与另外一个一样后，再次获取类型，果然CLR对其的判断就错误了。