-
-
未解决 [求助]请问一下，是什么函数导致x64dbg能附加，但是无法读取内存，ce也是一样，可以附加，但是不能读取内存
-
发表于: 2020-6-15 22:32
-
这两天无聊，学习反反调试技术，刚入门，解决了ObRegisterCallbacks的俩pre函数和进程、线程、映像回调，按理说应该可以被附加读内存，但是我无论用x64dbg还是ce都只能附加但是无法读到内存，截图后两个回调函数是我自己创建的 
都无法查看内存，但是我自己手写OpenProcess+ReadProcessMemory可以读取到该游戏地址里面的内存,地址是用驱动ce读出来的，并且验证，数据没问题 
我就真的挺弄不懂的，（一个冷门的游戏）为什么ce加载我自写驱动但不加载ce驱动的情况下读取不出来内存，但是用户层的ReadProcessMemory可以读取出来。保护模块是be。x64dbg标题有游戏名。小白求解！
6.16日再次编辑，我的思路是ce读不出来，为什么，那肯定是OpenProcess或者ReadProcessMemory有某个返回不对，或者权限不够，所以读不到，所以我自写了ReadProcessMemory，在已经加载我自写驱动情况下可以读出地址数据，但是同环境ce无法读取。所以我想求助的是，为什么ce读不出来内存，而ReadProcessMemory可以，这是因为哪个函数保护的。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
最后于 2020-6-16 12:42
被血之哀丿释然编辑
，原因：
|
|
|---|---|
|
|
|
|
|
¿ 没驱动你摘啥回调？还是说你理解的驱动就只能是那俩回调？ |
|
|
|
|
|
啥意思，我的意思，我已经用驱动摘了俩钩子和3个回调。我主要表达的是，解决所有回调以后，为啥ce在不加载ce自己驱动情况无法读取内存，但是readReadProcessMemory能读出来。这是啥情况，是内存保护吗，如果内存保护，我需要去查看哪个函数。我只查找到在用户层函数VirtualProtect，但是没找到内核层函数，经过测试用户层函数并无法体现上图效果，应该不是这个原因导致的。我就一头雾水 |
|
|
我想知道做到这种保护的是哪个函数。不是说我认为驱动做不到这个行为。我奇怪的是，ce读取不到，readReadProcessMemory可以读取到，难道是驱动检测到ce，然后又执行了什么奇怪的函数？那我应该如何去分析。我驱动就简单用自己注册的回调函数入口替换了这5个函数入口地址，我没有卸载这5个函数，不然关闭游戏要蓝屏。 |
|
|
|
|
|
自写ReadProcessMemory（）能读取，按理说ce就能读取吧。 |
|
|
|
|
|
|
|
|
|
|
|
谢谢老哥给的思路，但是我今天晚上已经做了实验，用改名为CSRSS.exe的ce也读取不到内存，我现在初步判断，要不就是检测到了某个模块？或者说我钩子还是没清理干净，又或者有深层次的钩子。 |
|
|
|
|
|
|
|
|
谢谢思路，我这就试试。这个问题，这两天弄得头昏脑胀的，没啥动力看理论知识，真的很烦。 |
|
|
|
