-
-
新TP的内存保护技术 (仅修改一个字节)
-
发表于: 2020-11-4 15:22
-
TP最近全体升级成了ACE系列的驱动保护,强度弱了亿点。
发现了它有个很有意思的功能，启动程序大约几分钟后，就不能再修改其代码段的内存属性，也就不能修改其只读代码段了。效果跟BE使用的remap非常相似。
那么它到底是remap还是if hook还是什么别的其他技术来实现的呢。
首先它的内存属性前后都是image类型的没变过，不太像remap。关闭系统的ifhook后，仍然不能修改。说明ACE是通过其他方式来实现的。
先调用ZwProtectVirtualMemory来修改目标代码段的属性看下错误，
C000009D是个很少见的错误，一般来说跟内存相关的API不会返回这样的错误值。
看一下ntos中都有什么地方会返回这个错误
可以看到，还是非常少的，寥寥无几,我们一个一个尝试，把这里的错误值改成其他的错误，最终我们得到了ZwProtectVirtualMemory的错误是由VslpEnterIumSecureMode引起的。
可是修改内存属性为什么会进入这个函数里面呢。查看一下调用栈
原来在MmProtectVirtualMemory中，如果被修改的内存vad flag中如果第16位是1，则会进入这个分支。
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
|
|
|
能想出这种骚操作的都是人才
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
单总牛逼，有空看下QQ。。
|
|
|
当然有啊 ACE-ATS32这个就是负责对base32和game32的CRC校验上传的 |
|
|
|
|
|
|
