在自己的进程进程中hookMessagebox 为什么对别的进程没有影响呢:
因为自己进程的meaagebox和其他进程的其实是在一个物理页中的。
这个内存在pte中是只读的。
当运行hook代码时,(这时需要把hook的代码写到messagebox的指定地方,用到了写这个权限,而pte是只读的)会触发异常,cpu就会去检查进程的vad (位于进程结构体的+11c处,是一个二叉树),如果属性是writecopy,就会申请一个新的物理页,把hook的代码给复制过去。
这样我们hook的代码就不在原来的messagebox的地方,别的进程运行时,不会对他有影响。
如果我们想通过这个api监控所有的进程,就需要绕过这个writecopy
WriteCopy是如何触发的
内存的属性有两种:一种是PTE 一种是vad (内核中记录一个应用程序4GB 内存的分配情况,哪些内存被分配了。具体的属性是什么 read write writecopy). vad 在进程结构体的+11c处,是一个二叉树结构。
dt _EPROCESS 89f38758 //通过这个指令扎到vadroot的值 然后使用下面的指令
!vad 0x89f497d0
start和end是以页为单位的。
当访问内存pte出问题时(比如页属性是只读的,然后我去写这个内存),cpu就会触发异常,去找vad里面的属性,如果是readonly的,返回c005内存访问错误。如果是writecopy,cpu就会分配一个新的物理页,把要写的那块代码复制到新的物理页中。
绕过写拷贝的两种方法
- 申请一个新的线性地址,新的pte 。和要hook的地方指向同一个物理页
- 直接修改pte的属性为可读可写,就不会触发异常,也就不会触发写拷贝了。 试试监控代码写进入后可以把PTE属性修改回来吗?