[求助]内核调用ZwProtectVirtualMemory总是失败返回C0000005错误或PAGE_FAULT_IN_NONPAGED_AREA-编程技术-看雪论坛-安全社区|非营利性质技术交流社区

[求助]内核调用ZwProtectVirtualMemory总是失败返回C0000005错误或PAGE_FAULT_IN_NONPAGED_AREA

发表于: 2021-8-6 19:38 6223

[求助]内核调用ZwProtectVirtualMemory总是失败返回C0000005错误或PAGE_FAULT_IN_NONPAGED_AREA

月生沧海

2021-8-6 19:38

6223

代码如下，未导出函数ssdt已经取成功了，对照了地址这一点没问题，然后就是怎么写都是出错，修改不成功，要么返回NTSTATUS:c0000005说非法访问，要么就是蓝屏PAGE_FAULT_IN_NONPAGED_AREA，求助一下论坛里的大佬！！！！
下面是代码：：：搞定了会发帖开源！！

ULONG KernelVirtualProtect(HANDLE pid, PVOID addr, SIZE_T size, ULONG protect)
{
    ULONG OldProtect = -32768;//初始化之前的保护
    PEPROCESS process;
    NTSTATUS status;
    HANDLE hProcess = NULL;
    KAPC_STATE apc_state;
    CLIENT_ID stClientId = { 0 };
    OBJECT_ATTRIBUTES objectAttributs = { 0 };
    if ((ULONG_PTR)addr >= 0x70000000 && (ULONG_PTR)addr < 0x80000000) addr = (PVOID)0x70000000;
 
 
    status=PsLookupProcessByProcessId(pid, &process);
    if (!NT_SUCCESS(status)) { return -32766; }
 
    KeStackAttachProcess(process, &apc_state);
    stClientId.UniqueProcess = pid;
    stClientId.UniqueThread = 0;
    InitializeObjectAttributes(&objectAttributs, 0, 0, 0, 0);
    status = ZwOpenProcess(&hProcess, PROCESS_ALL_ACCESS, &objectAttributs, &stClientId);    
    if (!NT_SUCCESS(status)){return -32767;}
     if (hProcess != NULL)
    {
        status = pfn_NtProtectVirtualMemory(hProcess, (PVOID*)&addr, &size, PAGE_EXECUTE_READWRITE, &OldProtect);
        if (!NT_SUCCESS(status))
        {
            DPRINT(("[X64Svc] pfn_NtProtectVirtualMemory status = %08X\n", status));
            return status;
 
        }
    }
    KeUnstackDetachProcess(&apc_state);
    ObDereferenceObject(process);
    ZwClose(hProcess);
    DPRINT(("[X64Svc] pfn_NtProtectVirtualMemory status = %08X\n", status));
    return OldProtect;
}

[培训]科锐软件逆向54期预科班、正式班开始火爆招生报名啦！！！

#驱动开发 #系统内核

收藏・1

免费・0

支持

最新回复 (5)
hzqst 雪币： 12885 活跃值： (9417) 能力值： ( LV9，RANK：280 ) 在线值：发帖 47 回帖 1790 粉丝 619 关注私信	hzqst 3 2 楼内核别用NtProtectVirtualMemory，用ZwProtectVirtualMemory 2021-8-6 23:33 3
游乐娃子雪币： 8622 活跃值： (6528) 能力值： ( LV4，RANK：50 ) 在线值：发帖 36 回帖 252 粉丝 64 关注私信	游乐娃子 3 楼 KeStackAttachProcess以后hProcess=NtCurrentProcess()就行了,没必要openprocess了. 声明调用,参考BlackBoneDrv就行了 2021-8-7 11:36 1
sunsjw 雪币： 9947 活跃值： (6729) 能力值： ( LV4，RANK：50 ) 在线值：发帖 48 回帖 1307 粉丝 18 关注私信	sunsjw 1 4 楼 hzqst 内核别用NtProtectVirtualMemory，用ZwProtectVirtualMemory 大牛能说说为什么呢？ 2021-8-7 11:59 0
月生沧海雪币： 143 活跃值： (815) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 35 粉丝 0 关注私信	月生沧海 5 楼 hzqst 内核别用NtProtectVirtualMemory，用ZwProtectVirtualMemory 我看了一下ntdll 两者调用index都是0x50 感觉俩是一样的 2021-8-7 16:25 0
Mr.hack 雪币： 3718 活跃值： (4874) 能力值： ( LV3，RANK：20 ) 在线值：发帖 26 回帖 148 粉丝 28 关注私信	Mr.hack 6 楼月生沧海我看了一下ntdll 两者调用index都是0x50 感觉俩是一样的如果是从用户模式调用Native API则previous mode是用户态，如果从内核模式调用Native API则previous mode是内核态。previous为用户态时Native API将对传递的参数进行严格的检查，而为内核态时则不会。调用Nt API时不会改变previous mode的状态，调用Zw API时会将previous mode改为内核态，因此在进行Kernel Mode Driver开发时可以使用Zw系列API可以避免额外的参数列表检查，提高效率。 2021-8-7 20:29 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

月生沧海

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (5)
hzqst 雪币： 12885 活跃值： (9417) 能力值： ( LV9，RANK：280 ) 在线值：发帖 47 回帖 1790 粉丝 619 关注私信	hzqst 3 2 楼内核别用NtProtectVirtualMemory，用ZwProtectVirtualMemory 2021-8-6 23:33 3
游乐娃子雪币： 8622 活跃值： (6528) 能力值： ( LV4，RANK：50 ) 在线值：发帖 36 回帖 252 粉丝 64 关注私信	游乐娃子 3 楼 KeStackAttachProcess以后hProcess=NtCurrentProcess()就行了,没必要openprocess了. 声明调用,参考BlackBoneDrv就行了 2021-8-7 11:36 1
sunsjw 雪币： 9947 活跃值： (6729) 能力值： ( LV4，RANK：50 ) 在线值：发帖 48 回帖 1307 粉丝 18 关注私信	sunsjw 1 4 楼 hzqst 内核别用NtProtectVirtualMemory，用ZwProtectVirtualMemory 大牛能说说为什么呢？ 2021-8-7 11:59 0
月生沧海雪币： 143 活跃值： (815) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 35 粉丝 0 关注私信	月生沧海 5 楼 hzqst 内核别用NtProtectVirtualMemory，用ZwProtectVirtualMemory 我看了一下ntdll 两者调用index都是0x50 感觉俩是一样的 2021-8-7 16:25 0
Mr.hack 雪币： 3718 活跃值： (4874) 能力值： ( LV3，RANK：20 ) 在线值：发帖 26 回帖 148 粉丝 28 关注私信	Mr.hack 6 楼月生沧海我看了一下ntdll 两者调用index都是0x50 感觉俩是一样的如果是从用户模式调用Native API则previous mode是用户态，如果从内核模式调用Native API则previous mode是内核态。previous为用户态时Native API将对传递的参数进行严格的检查，而为内核态时则不会。调用Nt API时不会改变previous mode的状态，调用Zw API时会将previous mode改为内核态，因此在进行Kernel Mode Driver开发时可以使用Zw系列API可以避免额外的参数列表检查，提高效率。 2021-8-7 20:29 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复