如何检测指定内存地址被读取过？

kuangshen1

如何检测指定内存地址被读取过？

1752328925

你可以换一种思路去解决问题

1752328925

1752328925 发表于 2024-2-3 22:39
你可以换一种思路去解决问题

通过某种方式改变了我的内存

hxk12349

下个硬件断点

kuangshen1

1752328925 发表于 2024-2-3 22:39
通过某种方式改变了我的内存

我想针对的那个软件他只会读取并不会去改变

1752328925

kuangshen1 发表于 2024-2-3 23:24
我想针对的那个软件他只会读取并不会去改变

这个没什么好办法，要么上驱动发现打开的是自己进程就关闭，要么R3就只能写一个DLL去全局HOOK系统所有进程，效率太低

1752328925

1752328925 发表于 2024-2-3 23:42
这个没什么好办法，要么上驱动发现打开的是自己进程就关闭，要么R3就只能写一个DLL去全局HOOK系统所有进 ...

先是看看监视内存读写的函数 ，然后用"SetWindowsHookExA  进行hook

憨憨问号

读取的话检测hook，判断那个进程是否存在，都可以解决问题
这里有一个我自己写的简单反hook例子

  

变量名	类 型	静态	数组	备 注
字节头	文本型
入口地址	整数型

入口地址 ＝ GetProcAddress (GetModuleHandleA (“kernel32.dll”), “WriteProcessMemory”)  ' 7498DA40
字节头 ＝ 进制_十到十六 (读内存字节型 (进程_取自进程ID (), 入口地址, ), )
调试输出 (字节头)
如果真 (字节头 ＝ “E9”)
返回 (真)  ' 被hook了，这里被改成了jmp
返回 (假)

i支持库列表	支持库注释
spec	特殊功能支持库

.版本 2<br /> .支持库 spec<br /> <br /> .局部变量 字节头, 文本型<br /> .局部变量 入口地址, 整数型<br /> <br /> 入口地址 ＝ GetProcAddress (GetModuleHandleA (“kernel32.dll”), “WriteProcessMemory”)  ' 7498DA40<br /> 字节头 ＝ 进制_十到十六 (读内存字节型 (进程_取自进程ID (), 入口地址, ), )<br /> 调试输出 (字节头)<br /> .如果真 (字节头 ＝ “E9”)<br />     返回 (真)  ' 被hook了，这里被改成了jmp<br /> .如果真结束<br /> 返回 (假)

kuangshen1

憨憨问号 发表于 2024-2-3 23:50
读取的话检测hook，判断那个进程是否存在，都可以解决问题
这里有一个我自己写的简单反hook例子
[e=1].版本 ...

比如说我要简述0057CD7C这个内存是写在哪里，你这个我没看明白地址放哪里

谁的坏叔叔

检测读取还不如检测调试 你看哪个是检测地址被读的  基本都是检测调试 检测断点 或者CRC效验