【易首发】R3保护自己的代码段不被修改，直接废掉WriteMemory

ANormalUser · 发表于 2022-10-3 13:13:03

前言：

利用NtCreateSection创建一块和欲保护的地址大小相同的Section，然后将数据拷贝到改Section中，最后用NtMapViewOfSection重新映射回去（此时便可添加SEC_NO_CHANGE属性）
添加映射出的内存页被添加SEC_NO_CHANGE属性后，R3下NtProtectVirtualMemory就不能修改这个内存区域的内存属性了，只读的代码段不能被修改为可写。
接着R3下的写入改内存页的命令基本就废了。
保护后CE修改代码段的效果：

由于NtMapViewOfSection要求映射内容64KB对齐，这里可能让少部分只读属性的内存页变成可读可写。
不能尝试去保护kernel32.dll（它的内存映射情况非常奇怪），程序不能去保护ntdll.dll（因为NtMapViewOfSection在ntdll中，除非重写NtMapViewOfSection，不过这也不难，我就不实现了）
保护exe代码区段需要一个Dll来完成（显然，运行中代码区段不能解除自己的映射，这会导致程序直接崩溃），且需要编译出来才有效

NoChange.zip (13.12 KB, 下载次数: 1296)

212758608 · 发表于 2023-9-28 08:15:15

感谢分享，很给力！~

ujjvj · 发表于 2023-9-28 03:17:23

学习学习6666

夢夢夢 · 发表于 2023-9-27 22:09:38

？？？？？？？？感谢分享

shiqi123 · 发表于 2023-9-27 08:26:31

学习学习6666

Death柠檬 · 发表于 2023-9-26 19:07:57

啊啊啊啊啊啊啊啊啊啊啊啊啊啊啊啊啊啊啊啊

554866 · 发表于 2023-9-25 23:10:13

学习学习6666

蚂蚁520 · 发表于 2023-9-22 14:20:01

学习学习6666

A6928564 · 发表于 2023-9-21 09:30:23

学习学习6666

商品国际 · 发表于 2023-9-19 00:50:32

这个小技巧对付一般的菜鸟还是可以的如果是我就没用了

蚂蚁520 · 发表于 2023-9-18 14:55:42

支持楼主，感谢分享

		自动登录	找回密码
密码			注册