利用内存锁定技术防止CE修改

利用内存锁定技术防止CE修改

通过这种在R3环利用的技术，我们可以来达到保护内存的目的，像VirtualProtect等函数来修改页属性根本无法修改。

而CE修改器推测应该使用VirtualProtect来修改页属性，从而可以修改内存。

当然，这种技术在R0层面是可以修改的（当然修改起来也有一定难度）

原理这里先说明自己还不太清除，但弄清楚之后会补上的。

先展示源代码，后展示效果

 // 内存锁定.cpp : Defines the entry point for the console application.
 //

 #include "stdafx.h"
 #include <stdio.h>
 #include <Windows.h>
 #include <stdlib.h>

 #define InitializeObjectAttributes( p, n, a, r, s ) { \
     (p)->Length = sizeof( OBJECT_ATTRIBUTES );          \
     (p)->RootDirectory = r;                             \
     (p)->Attributes = a;                                \
     (p)->ObjectName = n;                                \
     (p)->SecurityDescriptor = s;                        \
     (p)->SecurityQualityOfService = NULL;               \
     }
 typedef struct _UNICODE_STRING {
     USHORT Length;
     USHORT MaximumLength;
     PWSTR  Buffer;
 } UNICODE_STRING, *PUNICODE_STRING;

 typedef struct _OBJECT_ATTRIBUTES {
     ULONG           Length;
     HANDLE          RootDirectory;
     PUNICODE_STRING ObjectName;
     ULONG           Attributes;
     PVOID           SecurityDescriptor;
     PVOID           SecurityQualityOfService;
 }  OBJECT_ATTRIBUTES, *POBJECT_ATTRIBUTES;

 typedef  DWORD (WINAPI*ZwCreateSectionProc)(
     PHANDLE            SectionHandle,
     ACCESS_MASK        DesiredAccess,
     POBJECT_ATTRIBUTES ObjectAttributes,
     PLARGE_INTEGER     MaximumSize,
     ULONG              SectionPageProtection,
     ULONG              AllocationAttributes,
     HANDLE             FileHandle
 );

 typedef enum _SECTION_INHERIT {
     ViewShare = ,
     ViewUnmap =
 } SECTION_INHERIT;

 typedef DWORD (WINAPI *ZwMapViewOfSectionProc)(
      HANDLE SectionHandle,
      HANDLE ProcessHandle,
      PVOID *BaseAddress,
      ULONG_PTR ZeroBits,
     SIZE_T CommitSize,
      PLARGE_INTEGER SectionOffset,
  PSIZE_T ViewSize,
      SECTION_INHERIT InheritDisposition,
     ULONG AllocationType,
     ULONG Win32Protect
 );
 int main()
 {
     HMODULE h = LoadLibraryA("ntdll.dll");
     ZwCreateSectionProc ZwCreateSection = (ZwCreateSectionProc)GetProcAddress(h, "NtCreateSection");
     ZwMapViewOfSectionProc ZwMapViewOfSection = (ZwMapViewOfSectionProc)GetProcAddress(h, "ZwMapViewOfSection");
     HANDLE SectionHandle;
     LARGE_INTEGER MaximumSize = {  };
     MaximumSize.QuadPart = 0x10000;
     OBJECT_ATTRIBUTES obj = {  };
     InitializeObjectAttributes(&obj, NULL, 0x40, , );
     DWORD error = ZwCreateSection(&SectionHandle, SECTION_ALL_ACCESS, NULL, &MaximumSize, PAGE_EXECUTE_READ, SEC_COMMIT, NULL);
     PVOID BaseAddress = NULL;
     SIZE_T ViewSize = ;
     error = ZwMapViewOfSection(SectionHandle, GetCurrentProcess(), &BaseAddress, ,
         0x10000, NULL, &ViewSize, (SECTION_INHERIT), , PAGE_EXECUTE_READ);
     printf("%x,%x\r\n", BaseAddress, SectionHandle);
     DWORD p = ;
     error = VirtualProtect(BaseAddress, 0x10000, PAGE_EXECUTE_READWRITE, &p);
     system("pause");
     return ;
 }

1. 代码运行结果：

2. 使用CE来修改

　　1）用CE附加。

　　2）查看内存。

　　　　

　　3）点击“视图 -> 内存区域”。

　　　　

　　4）选中目标区域内存，左键修改，则明显无法修改。

　　　　

3. 同时根据内存属性可以看到，其使用 VirtualProtect 将内存页属性置为 PAGE_EXECUTE_READWRITE, 明显无效。

　　1）代码修改的

　　　　

　　2）内存显示的

　　　　

4. 后记：其实这种技术在R0层是可以修改的，之后我们会详细介绍。