最近在分析Ow   使CE能附加上游戏调试 
问题1：
游戏里有几个线程一直在制造异常，通过自己的异常处理，来防止调试器附加，于是我通过修改CE源码 （VEH）过滤了他的异常 ，就能附加上调试器，但是下了硬件断点后，游戏几秒钟就能检测到硬件断点。
我又Hook了 NtGetThreadContext 并没有发现游戏调用这个api来检测硬件断点。
于是我猜测它是在异常处理检测硬件断点的。
可是我通过Hook AddVectoredExceptionHandler 也没有发现他添加异常处理   

现在我想知道怎么找到他的SEH处理函数 或者其他可能的异常处理

问题2：

游戏中代码都被给予了 PAGE_EXECUTE_READ 保护，导致不能修改内存 ，我调用VirtualProtect 来修改保护，可是怎样都修改不了，返回错误代码：87 ，于是想通过hook NtProtectVirtualMemory 来拦截他改内存保护，可是他并没有通过 VirtualProtect VirtualProtectEx来修改内存保护。根本拦截不到！！  

我太菜实在是找不到什么办法来改他的虚拟保护。

只求各位哥哥姐姐叔叔阿姨弟弟妹妹能给个思路

问题二找到了解决办法:

在Github找到的X64dbg插件代码可以有效修改内存保护(貌似游戏还有效验)

附上地址:给需要的朋友 559K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6U0L8$3c8W2L8r3!0S2k6q4)9J5k6h3N6A6N6r3S2#2j5W2)9J5k6h3y4G2L8g2)9J5c8X3y4Z5j5h3&6Y4k6h3!0X3M7r3q4U0k6g2)9J5c8V1k6G2M7X3y4W2i4K6u0V1f1r3q4Y4k6g2)9J5k6q4m8J5L8%4c8W2j5%4c8A6L8$3&6Q4x3V1k6*7K9i4m8Q4x3V1k6E0j5i4y4@1k6i4t1`.

这是介绍

NtProtectVirtualMemory will fail for memory mapped views with valid arguments in these scenarios:

1. The view is mapped with the undocumented allocation type:SEC_NO_CHANGE(0x00400000).

2. The desired protection is incompatible with the view's initial protection. Example: trying to set the protection for a view with an initial protection ofPAGE_READONLYtoPAGE_EXECUTE_READWRITE.

3. The view and/or backing section are created using large pages (unconfirmed / not currently supported).

A process can utilize these cases as an anti-patching mechanism. A demo of this can be foundhere.

This plugin defeats this technique by remapping the view with the desired protection.

[培训]科锐逆向工程师培训第53期2025年7月8日开班！