我写了一个玩具给朋友玩, 但是在12月的某一天它更新了, 可是这次因为偷懒并没有去检查是否对修改的内存地址进行检测, 导致被封了365天, 虽然我不玩这个游戏, 但是还是不开心的写起了遍历DriverObject的代码.

先说说AXE-BASE频繁在做的其中一件事情: 几乎查询所有在运行进程某线性地址的页面属性.

额. 简单说一下这个DeviceIoControlCode做了什么.

1. 校验某全局变量(QWORD & 0x10) != 0
2. 全局平衡树查找指定PID的EPROCESS
3. NTSTATUS QueryVirtualMem(
   EPROCESS EProcess,
   ULONGLONG ullVirtualMemory,
   //MEMORY_INFORMATION_CLASS::MemoryBasicInformation
   ULONG ulZero,
   OUT ULONGLONG ullIrpOutSystemBuffer,
   IN ULONG ulOutBufferLen,
   OUT PULONG pulReturnByte
   );
   (注意此处忽略掉了Irp->InputBuffer的校验, 也就是说达到这里时, 已经过了校验)
4. Irp->BufferStruct
   base+00 ULONG ulPid
   base+08 ULONGLONG ullVirtualAddress
   base+0c ULONG ulZero

NTSTATUS QueryVirtualMemory(
PEPROCESS Process,
uint64_t VirtualMemory,
ULONG ulZero
unsigned __int8 *OutputBuffer,
unsigned int OutputLen,
OUT PULONG OutReturnLen
){
NTSTATUS lStatus;
APC_STATE apc;
ULONG ulExitCode = PsGetProcessExitStatus(Process);
//STATUS_PENDING
if(ulExitCode == 0x103){
return STATUS_PROCESS_IS_TERMINATING;
}
KeStackAttachProcess(Process,&apc);

}

版面似乎不好看, 刚开始用不太会...
今天暂时先发这一个吧, 睡觉~

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)