c++ - 在 win32 用户空间代码中挂钩 OpenProcess() 或 ReadVirtualMemory()

Question

无论如何，我自己的自定义函数是否有挂钩/绕道OpenProcess()或ReadProcessMemory()函数调用？

没有：

1. Zw/NtOpenProcess 上的内核驱动程序，需要 rootkit 漏洞利用或驱动程序签名才能部署
2. 在每个进程中注入.dll，垃圾邮件浪费资源并警告许多防病毒软件

我试图阻止其他进程获取HANDLE或读取 PID 向量的内存。

Answer 1

如果您不在内核模式上全局挂钩调用，则必须进入每个目标进程。一个 dll 将是最简单的解决方案，但你可以做更多 hacky 和乏味的东西。

使用 OpenProcess 和 ReadProcessMemory（多么巧合！）和 WriteProcessMemory 来修改每个目标进程。使用过滤器功能挂钩所需的功能并修补所需的功能。

请注意，如果有人知道您在做什么并想阻止它，您将无能为力。他可以重新修补您的代码或使用一些直接的 asm 调用来调用 API (SYSCALL)。