-
-
[旧帖]
[求助]内核编程时 memcpy失败。。求原因和解决方法
0.00雪花
-
发表于:
2010-5-12 09:58
6141
-
[旧帖] [求助]内核编程时 memcpy失败。。求原因和解决方法
0.00雪花
正写一个inline unhook NtOpenProcess的程序练练手
需要将原函数被修改前五个字节改写成原来的指令（push 0xC4）
定位到了NtOpenProcess的首地址后，就开始用memcpy进行拷贝：
（BYTE）orig_code[5] ={0x68,0xc4,0x00,0x00,0x00};
ULONG Address = （ULONG）NtOpenProcess；
//去除内存写保护
memcpy((BYTE*)Address,orig_code,5)
//恢复内存写保护
...
用windbg调试的时候发现memcpy执行后，Address里面的内容并没有改变。。
望高手能帮助下~
ps.然后还有个问题，就是现在我这有一堆（几十上百个）内核函数被inline hook了，我需要全部还原的话，有没有什么模块化的方法，即批量还原的。
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
