看流星社区

 找回密码
 注册账号
查看: 1948|回复: 0

Anti内存修改 内存WriteWatch跟踪技术

[复制链接]

该用户从未签到

发表于 2018-3-1 12:41:37 | 显示全部楼层 |阅读模式

原理:
微软提供的内存WriteWatch跟踪技术,
对于申请为MEM_WRITE_WATCH的内存,
可以监控内存变更(包括外界变更)。

举例代码:仅仅是举个例子
  1. #include <windows.h>
  2. #include <stdio.h>

  3. typedef struct _POSITION_
  4. {
  5.     DWORD dx;
  6.     DWORD dz;
  7.     DWORD dy;
  8. }POSITION,*PPOSITION;

  9. #define BASE_SIZE 0x1000
  10. #define WALK_ADD 10
  11. DWORD WINAPI WatchThread(LPVOID Param)
  12. {
  13.     ULONG size = 0;
  14.     DWORD p = 0;
  15.     UINT  Ret = 0;
  16.     PVOID px[0x400] = { 0 };
  17.     while (1)
  18.     {
  19.         size = 0x400;
  20.         p = 0;
  21.         Ret = GetWriteWatch(WRITE_WATCH_FLAG_RESET, Param, BASE_SIZE, px, &size, &p);
  22.         if (Ret == 0
  23.             && size != 0)
  24.         {
  25.             MessageBoxW(NULL, L"发现第三方软件修改关键内存", L"发现第三方软件", MB_OK);
  26.         }
  27.     }
  28.     return 0;
  29. }
  30. int __cdecl main(int argc, char *argv[])
  31. {
  32.     //申请Base基址内存
  33.     PVOID Base = VirtualAlloc(NULL, BASE_SIZE, MEM_RESERVE | MEM_COMMIT | MEM_WRITE_WATCH, PAGE_READWRITE);
  34.     PPOSITION pos = (PPOSITION)Base;
  35.     //初始化坐标
  36.     pos->dx = pos->dy = pos->dz = 1000;
  37.     //清空监控记录
  38.     ResetWriteWatch(Base, BASE_SIZE);
  39.     //开启监控线程
  40.     HANDLE hThread = CreateThread(NULL, 0, WatchThread, Base, 0, NULL);
  41.     while (1)
  42.     {
  43.         //暂停监控线程
  44.         SuspendThread(hThread);//也可以通过其他方式进行!!!!暂停线程只是简单模型
  45.         //模拟走路过程
  46.         pos->dx += WALK_ADD;
  47.         //继续监控
  48.         ResetWriteWatch(Base, BASE_SIZE);
  49.         ResumeThread(hThread);
  50.         //输出X坐标
  51.         printf("x = %d\n", pos->dx);
  52.         Sleep(1000);
  53.     }
  54.     return 0;
  55. }
复制代码
点击按钮快速添加回复内容: 支持 高兴 激动 给力 加油 苦寻 生气 回帖 路过 感恩
您需要登录后才可以回帖 登录 | 注册账号

本版积分规则

小黑屋|手机版|Archiver|看流星社区 |网站地图

GMT+8, 2024-3-29 04:45

Powered by Kanliuxing X3.4

© 2010-2019 kanliuxing.com

快速回复 返回顶部 返回列表