20

我们正在编写代码以使用 Windows Defender API 从 C# 按需扫描文件。

        [DllImport(@"C:\Program Files\Windows Defender\MpClient.dll")]
        public static extern int WDStatus(out bool pfEnabled);

        [DllImport(@"C:\Program Files\Windows Defender\MpClient.dll")]
        public static extern int MpManagerOpen(uint dwReserved, out IntPtr phMpHandle);

        [DllImport(@"C:\Program Files\Windows Defender\MpClient.dll")]
        public static extern int MpScanStart(IntPtr hMpHandle, uint ScanType, uint dwScanOptions, IntPtr pScanResources, IntPtr pCallbackInfo, out IntPtr phScanHandle);

        [DllImport(@"C:\Program Files\Windows Defender\MpClient.dll")]
        public static extern int MpHandleClose(IntPtr hMpHandle);

        private void DoDefenderScan_Click(object sender, EventArgs e)
        {
            try
            {
                bool pfEnabled;
                int result = WDStatus(out pfEnabled); //Returns the defender status - It's working properly.
                ErrorHandler.ThrowOnFailure(result, VSConstants.S_OK);

                IntPtr phMpHandle;
                uint dwReserved = 0;

                IntPtr phScanHandle;

                MpManagerOpen(dwReserved, out phMpHandle); //Opens Defender and returns the handle in phMpHandle. 

                tagMPRESOURCE_INFO mpResourceInfo = new tagMPRESOURCE_INFO();
                mpResourceInfo.Path = "eicar.com";
                mpResourceInfo.Scheme = "file";
                mpResourceInfo.Class = IntPtr.Zero;

                tagMPRESOURCE_INFO[] pResourceList = new tagMPRESOURCE_INFO[1];
                pResourceList.SetValue(mpResourceInfo, 0);

                tagMPSCAN_RESOURCES scanResource = new tagMPSCAN_RESOURCES();
                scanResource.dwResourceCount = 1;
                scanResource.pResourceList = pResourceList;
                IntPtr resourcePointer = StructToPtr(scanResource);

                result = MpScanStart(phMpHandle, 3, 0, resourcePointer, IntPtr.Zero, out phScanHandle); **//Getting Access violation exception here**.

                MpHandleClose(phMpHandle);
                MpHandleClose(phScanHandle);
                Marshal.FreeHGlobal(resourcePointer);
            }
            catch (Exception)
            { }
        }

结构在这里定义。

    [StructLayout(LayoutKind.Sequential, Pack = 1)]
    public struct tagMPSCAN_RESOURCES
    {
        public uint dwResourceCount;

        [MarshalAs(UnmanagedType.ByValArray, ArraySubType = UnmanagedType.Struct, SizeConst = 1)]
        public tagMPRESOURCE_INFO[] pResourceList;
    }

    [StructLayout(LayoutKind.Sequential, Pack = 1)]
    public struct tagMPRESOURCE_INFO
    {
        [MarshalAs(UnmanagedType.LPWStr)]
        public String Scheme;

        [MarshalAs(UnmanagedType.LPWStr)]
        public String Path;

         public IntPtr Class;
    }

    public class MPRESOURCE_CLASS
    {
        public uint Value;
    }

    private static IntPtr StructToPtr(object obj)
    {
        var ptr = Marshal.AllocHGlobal(Marshal.SizeOf(obj));
        Marshal.StructureToPtr(obj, ptr, false);
        return ptr;
    }

代码是根据可用的文档编写的

https://msdn.microsoft.com/en-us/library/vs/alm/dn920144(v=vs.85).aspx

我们得到了这个例外

尝试读取或写入受保护的内存。这通常表明其他内存已损坏。

在

result = MpScanStart(phMpHandle, 3, 0, resourcePointer, IntPtr.Zero, out phScanHandle); **//Getting Access violation exception here**.

可能是什么问题呢？struct 的格式是否正确？

PS - msdn 中没有关于 MPRESOURCE_CLASS 的信息。

我不确定，这行代码是否正确。

 mpResourceInfo.Class = IntPtr.Zero;

更新：

使用此代码进行快速扫描可以正常工作：

result = MpScanStart(phMpHandle, 1, 0, IntPtr.Zero, IntPtr.Zero, out phScanHandle);

Defender 在事件查看器 [Applications and Services Logs-Microsoft-Windows-Windows Defender/Operational] 中登录为

Windows Defender 扫描已开始。
扫描 ID：{CDC2AC0D-7648-4313-851C-4D8B7B5EB5CD}
扫描类型：AntiSpyware
扫描参数：快速扫描

4

3 回答 3

20

我无法确定这里的问题。所以我最终得到了从 Windows 10 开始可用的反恶意软件扫描接口(AMSI)。

我在这里写了一个示例 C# 代码。
我发现的一件事是 AMSI 需要打开 Windows 防御者/任何防病毒软件来验证传递给 API 的文件。但是，MpClient.dll即使防守者被关闭，触发扫描也会触发防守者扫描。

还要确保您的项目针对x64平台。

public enum AMSI_RESULT
    {
        AMSI_RESULT_CLEAN = 0,
        AMSI_RESULT_NOT_DETECTED = 1,
        AMSI_RESULT_DETECTED = 32768
    }

[DllImport("Amsi.dll", EntryPoint = "AmsiInitialize", CallingConvention = CallingConvention.StdCall)]
public static extern int AmsiInitialize([MarshalAs(UnmanagedType.LPWStr)]string appName, out IntPtr amsiContext);

[DllImport("Amsi.dll", EntryPoint = "AmsiUninitialize", CallingConvention = CallingConvention.StdCall)]
public static extern void AmsiUninitialize(IntPtr amsiContext);

[DllImport("Amsi.dll", EntryPoint = "AmsiOpenSession", CallingConvention = CallingConvention.StdCall)]
public static extern int AmsiOpenSession(IntPtr amsiContext, out IntPtr session);

[DllImport("Amsi.dll", EntryPoint = "AmsiCloseSession", CallingConvention = CallingConvention.StdCall)]
public static extern void AmsiCloseSession(IntPtr amsiContext, IntPtr session);

[DllImport("Amsi.dll", EntryPoint = "AmsiScanString", CallingConvention = CallingConvention.StdCall)]
public static extern int AmsiScanString(IntPtr amsiContext, [InAttribute()] [MarshalAsAttribute(UnmanagedType.LPWStr)]string @string, [InAttribute()] [MarshalAsAttribute(UnmanagedType.LPWStr)]string contentName, IntPtr session, out AMSI_RESULT result);
[DllImport("Amsi.dll", EntryPoint = "AmsiScanBuffer", CallingConvention = CallingConvention.StdCall)]
public static extern int AmsiScanBuffer(IntPtr amsiContext, [In] [MarshalAs(UnmanagedType.LPArray)] byte[] buffer, uint length, [In()] [MarshalAs(UnmanagedType.LPWStr)] string contentName, IntPtr session, out AMSI_RESULT result);

//This method apparently exists on MSDN but not in AMSI.dll (version 4.9.10586.0)
[DllImport("Amsi.dll", CharSet = CharSet.Unicode, CallingConvention = CallingConvention.StdCall)]
public static extern bool AmsiResultIsMalware(AMSI_RESULT result);

private void CallAntimalwareScanInterface()
{
    IntPtr amsiContext;
    IntPtr session;
    AMSI_RESULT result = 0;
    int returnValue;

    returnValue = AmsiInitialize("VirusScanAPI", out amsiContext); //appName is the name of the application consuming the Amsi.dll. Here my project name is VirusScanAPI.   
    returnValue = AmsiOpenSession(amsiContext, out session);
    returnValue = AmsiScanString(amsiContext, @"X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*", "EICAR", session, out result); //I've used EICAR test string.   
    AmsiCloseSession(amsiContext, session);
    AmsiUninitialize(amsiContext);
}
于 2016-12-28T11:55:54.327 回答
3

我一直在寻找问题，并将其视为可能的原因之一：

“您经常会看到调试版本和发布版本之间的差异，因为调试版本包含额外的元数据以帮助调试。”

在这里：https ://social.msdn.microsoft.com/Forums/vstudio/en-US/4f48c152-68cd-45ec-a11e-baa7de7f79c3/attempted-to-read-or-write-protected-memory?forum=csharpgeneral

您还应该检查“是否可以在 .NET 中捕获访问冲突异常？”的答案。以及在 MSDN 杂志中处理损坏的状态异常一文中解释的更多细节
......

因此，根据这些答案和文章，我会尝试：

第一次仔细检查所有非托管代码的签名和 COM 互操作 thunk，以验证它们是否正确。

2nd Set Visual Studio Debugger to bypass this exception: Tools menu -> Options -> Debugging -> General -> Uncheck this option "Suppress JIT optimization on module load"

第三次尝试捕获异常

（注意：如果您使用的是 .Net 4，那么在 App.config 中，在标签中修改运行时以包含 legacyCorruptedStateExceptionsPolicy enabled="true"，如：

<runtime>
    <legacyCorruptedStateExceptionsPolicy enabled="true"/>
</runtime>

)

另外，在这里，我发现一些.net框架版本（最新评论指向4.6.1在其中一个答案的评论中）存在与此异常相关的错误，并且解决方案过去一直在升级框架. 另外，在我读过的其中一个答案中：

您好 有两个可能的原因。

1.我们有非托管代码，我们从托管代码中调用它。那是阻止运行此代码。尝试运行这些命令并重新启动您的电脑

cmd: netsh winsock 重置

打开cmd.exe并运行命令“netsh winsock reset catalog” 2.Anti-virus将非托管代码视为有害并限制运行此代码禁用防病毒然后检查

我想知道其中一些方法是否可以帮助您解决问题。

我真的希望这会有所帮助。

韩国,

胡安

于 2016-12-22T14:49:58.400 回答
3

您可以使用反恶意软件扫描界面来检查文件是否存在恶意软件。

反恶意软件扫描接口 (AMSI) 是一种通用接口标准，允许应用程序和服务与机器上存在的任何反恶意软件产品集成。它为用户及其数据、应用程序和工作负载提供增强的恶意软件保护。

它从 Windows 10 开始可用。

于 2016-12-23T13:37:42.260 回答