-
-
[求助]VThook内存读写 ~与执行 后 依然可以读取到内存被修改
-
发表于: 2018-8-20 19:51
-
hook 地址 的 读写 与执行~程序能正常运行并且PChunter 检测不出被钩挂~但是我发现 用一种方法去读取 被我HOOK 掉的内存依然能检测出 内存被改写 因为得到的值是错误的 
下面是读取到的值 
这个值 是错误的
求大佬指点 为什么会出现这种状况 我HOOK 的PsCreateSystemThread 函数的第一个字节
求大佬指点 为什么会出现这种状况 我HOOK 的PsCreateSystemThread 函数的第一个字节
[峰会]看雪.第八届安全开发者峰会10月23日上海龙之梦大酒店举办！
|
|
|---|---|
|
|
|
|
|
|
|
|
求大佬指点 |
|
|
|
|
|
|
|
|
pch好像有bug，跟ddimon不兼容，不晓得为啥 |
|
|
我还有个问题求教前辈 就是多核情况下如果我在 Host内恢复 HOOK 点 然后去跑 会不会被发现？因为进入host 后使用的CR3 跟其他在Guest跑的CPU 用的还是同一个CR3啊~~~这里有疑问 |
|
|
恢复hook一般不是要配合NMI把hook设置回去的吗？这个时间窗口里别的核心又跑不了代码 |
|
|
我的意思是 在多核情况下 一个 核心进入了HOST 其他的核心是否还在正常运行？？？？ 如果其他核心在运行 那么进入host 内的核心修改 内存会不会被其他核心的检测线程发现~~~~~~~~~~~因为 即使进入了HOST ，，他所使用的分页起始还是在Guest中的CR3分页 只是不能切换了（我以为是这样的 ） |
|
|
1、一个核心vmexit不会影响到其他核心 2、不建议在任何非必要的情况下于host os环境访问/修改guest虚拟内存 3、不建议在vm root模式下切换任何真实寄存器，包括cr3 4、非要在host访问guest内存，并且需要于发生vmexit的cpu所处上下文执行的话：可以注入一个异常比如int1 int3，然后接管idt，于idt 01/03 entry里进行内存读写操作。
最后于 2018-8-22 08:58
被hzqst编辑
，原因：
|
|
|
大佬你太厉害了 |
|
|
|
|
|
|
|
|
我QQ 314588566 大佬求加好友 |
|
|
映射到我的进程或 可以 OD附加调试？ |
|
|
|
|
|
|
hzqst
