64位写内存无法写入！！！hook还原是写内存

a6644430 · 发表于 2020-7-8 11:27:24

因为要hook，还原代码，在还原的时候无法写入，但是能内存读取！
这个我测试了，第一行代码不能写入，第二行可以写入

这是第一行不可写入的内存和代码段

这是第二行可以写入的

ce脚本没有问题的，能够正常运行，这是ce脚本运行结果，也就是易语言这里不能实现写入

这是申请的内存地址生成的代码段，ce和易语言都能实现

关键问题就是易语言内存写入实现不了，不知道是不是和这个内存地址大小有关系“7FF7DE80576B”。我找了个较小的地址可以实现“1F4D572A850”！

我是易语言新人，希望老鸟帮我解答下，在线等！！！！！！！！！！！

dnxl · 发表于 2020-7-8 11:27:25

382270611 发表于 2020-9-7 11:48
函数 ntprotectvirtualmemory 是干嘛用的？
能不能给个例子

内存区域可设置很多种属性，有的只读，有的可写，有的可执行代码，有的拒绝任何访问。在用户层可以用API （本进程）virtualprotect/（外部进程）virtualprotectex来设置或改变这些属性。一般程序代码段都是可执行只读，就是CE里面显示为绿色，想对这种区域的内存进行修改必须先设置成可读写可执行，
平时用kernel32.writeprocessmemory改写内存因为它内部会先调用virtualprotectex，再调用ntdll.ntwritevirtualmemory所以跟本不用考虑内存属性的问题，而在读写X64进程内存的时因为地址长度问题ntdll.ntwritevirtualmemory对超出32位整数的地址无效，所以kernel32.writeprocessmemory也就没用了。
取而代之是ntwow系列函数，ntdll.ntwow64writevirtualmemory64但这个函数没有经过kernel32的封装不会先修改内存属性，遇上只读区域就无效了。
而更糟糕的时virtualprotect最终调用的是ntdll.ntprotectvirtualmemory,这个函数对64位地址也无效果。想自己先用它改属性也不行。ntdll中也没有对应的wow64板本,在以前32位进程想改64位进程内存属性在用户层基本无解。好在后来有人开源wow64ext直接调用x64ntdll.ntprotectvirtualmemory。其实是32位进程中加载了两个ntdll.dll一个32位，一个64位，通过技术手段把自己切换到64位模式，绕过32位ntdll调用64位ntdll中的ntprotectvirtualmemory修改64位进程的内存属性，然后再切回32位模式

a6644430 · 发表于 2020-7-8 11:32:07

内存保护也设置了读写模式，也是不行

a6644430 · 发表于 2020-7-8 12:09:05

没有人吗自顶下

a6644430 · 发表于 2020-7-11 20:31:14

怎么结贴啊

不飞 · 发表于 2020-8-20 21:17:10

怎么解决的楼主，我也遇到这个问题了

382270611 · 发表于 2020-8-30 19:37:44

读可以读写不了你有这情况么？

382270611 · 发表于 2020-9-4 18:35:16

找到解决方法了吗？自己申请的内存地址可以写入进程自带的内存不能写入不了。纠结了半个月了。网上完全没有找到任何信息。

dnxl · 发表于 2020-9-6 00:55:39

382270611 发表于 2020-9-4 18:35
找到解决方法了吗？自己申请的内存地址可以写入进程自带的内存不能写入不了。纠结了半个月了。网上完全没有 ...

没看到CE里面显示是绿色的么，这是代码段可执行/只读几个大字在那呢
这种地方一般都要改内存属性为可读写才能正常写入，如果你用的内存读写模块是WOW64系列函数实现的那么没戏，virtualprotectex 没有WOW64板的，改不了64位地址的内存属性。
只有WOW64EXT方法实现的直接调用X64 NTDLL 函数 ntprotectvirtualmemory 才能改

382270611 · 发表于 2020-9-7 11:48:59

dnxl 发表于 2020-9-6 00:55
没看到CE里面显示是绿色的么，这是代码段可执行/只读几个大字在那呢
这种地方一般都要改内存属性为可 ...

函数 ntprotectvirtualmemory 是干嘛用的？
能不能给个例子

		自动登录	找回密码
密码			注册

[已解决] 64位写内存无法写入！！！hook还原是写内存

最佳答案

评分