NTSYSCALLAPI

NTSTATUS

NTAPI

NtQueryVirtualMemory(

    IN HANDLE ProcessHandle,

    IN PVOID Address,

    IN MEMORY_INFORMATION_CLASS VirtualMemoryInformationClass,

    OUT PVOID VirtualMemoryInformation,

    IN SIZE_T Length,

    OUT PSIZE_T ResultLength

);

NTSTATUS    __stdcall  MyHOOK_NtQueryVirtualMemory(
       IN  HANDLE                                    ProcessHandle,                                  //目标进程句柄   
       IN  PVOID                                BaseAddress,                              //目标内存地址   
       IN  MEMORY_INFORMATION_CLASS    MemoryInformationClass,              //查询内存信息的类别   
       OUT  PVOID                                    Buffer,                                            //用于存储获取到的内存信息的结构地址   
       IN  SIZE_T                                    Length,                                            //Buffer的最大长度   
       OUT  PSIZE_T                                    ResultLength  OPTIONAL)                //存储该函数处理返回的信息的长度的ULONG的地址     

{
       NTSTATUS  status  =  STATUS_SUCCESS;
       PEPROCESS  Process;
 
 
       status  =  OdNtQueryVirtualMemory(ProcessHandle,  BaseAddress,  MemoryInformationClass,  Buffer,  Length,  ResultLength);
        
       return  status;
}

就这样  桌面右键也不正常显示。  不蓝屏。

如果是要HOOK  这玩意隐藏模块内存，还不如直接摸模块的MMVAD.

对付爆搜  特征怎么做好。清支个招、谢谢

解决没有呢

        MEMORY_BASIC_INFORMATION  Info  =  {  0  };
        SIZE_T  ReturnLength  =  0;

        Status  =  ZwQueryVirtualMemory(
                NtCurrentProcess(),
                Base,
                MemoryBasicInformation,
                &Info,
                sizeof(MEMORY_BASIC_INFORMATION),
                &ReturnLength);

        if  (NT_SUCCESS(Status))
        {
                ZwFreeVirtualMemory(
                        NtCurrentProcess(),
                        &Base,
                        &Info.RegionSize,
                        MEM_RELEASE);
        }