内存写入机器码(还是不行啊)

yq_ryan

我注入dll内的代码如下：
   unsigned long address=0x004016AD,proc;
    proc=*(DWORD*)myFun;
     
    _asm
    {
     
        PUSHAD
                          mov eax,address
        mov edx,proc
        mov BYTE PTR[eax],0xe9
        sub edx,eax
        sub edx,5
                 mov DWORD PTR[eax+1],edx

       POPAD
    }
注入完成后用od查看4016AD处，还是原先的机器码，根本没有变，我又将代码改写如下：
            unsigned long address=0x004016AD,proc;
     
   
    _asm
    {
     
        PUSHAD
                          mov eax,address
        mov BYTE PTR[eax],0xe9

       POPAD
    }
用od查看，还是以前的机器码，连这个e9都没有写进去，这是怎么回事啊，高手帮我！谢谢

iamplayboy

这里的代码让他运行了吗？都没执行改机器码的代码，当然是改不了的啦

yq_ryan

dll里面就这个函数，放置在DLL_PROCESS_ATTACH下面，我把他改成
_asm
    {
     
        PUSHAD
                          mov eax,address
        mov BYTE PTR[eax],0xe9

      POPAD
    }
这种形式，没有问题啊，dll是加载不进去，取消这些汇编就没问题，问题到底出来哪里了？？？版主帮忙啊！

yq_ryan

我把上面的改成这种形式，就能弹出对话框。
_asm
    {
     
        PUSHAD
                          mov eax,address
      POPAD
    }
  AfxMessageBox（“hello”）；
要是加上那条：mov BYTE PTR[eax],0xe9   
dll就加载不进去。

hong5499999

invoke    VirtualQuery,[EnGetKey],addr m_mi,28
         
        invoke    VirtualProtect,[m_mi.BaseAddress],[m_mi.RegionSize],PAGE_READWRITE,addr m_mi.Protect     
         
        mov        eax,DWORD [EnGetKey]
         
        mov        ecx,5
         
        mov        edi,GBuf
         
        add        eax,$69
         
        mov        esi,eax
         
        rep        movsb
         
        mov        byte [eax],$0e9
         
        mov        edx,done
         
        sub        edx,eax
         
        sub        edx,5
         
        mov        dword [eax + 1],edx     
         
        invoke    VirtualProtect,[m_mi.BaseAddress],[m_mi.RegionSize],[m_mi.Protect],    addr Buf

呵呵，老弟太急了。你是首先要用VirtualProtect设置被修改的代码页可写才成啊。不然你当然写不进去了！。

hong5499999

你要保证::VirtualProtect((LPVOID)(DWORD *)address,5,PAGE_READWRITE,&oldProtect);
确实成功了。

引用MSDN:
If the function succeeds, the return value is nonzero.
If the function fails, the return value is zero. To get extended error information, call GetLastError.

hong5499999

我的做法是：
首先申明了一个
m_mi            MEMORY_BASIC_INFORMATION  局部变量；
然后用其来查询要修改代码位置所在的内存页保护属性：
invoke    VirtualQuery,[EnGetKey],addr m_mi,28  
修改其属性为可读写：
invoke    VirtualProtect,[m_mi.BaseAddress],[m_mi.RegionSize],PAGE_READWRITE,addr m_mi.Protect   
改过代码后，复原：
invoke    VirtualProtect,[m_mi.BaseAddress],[m_mi.RegionSize],[m_mi.Protect],    addr Buf