-
-
求助]请问为什么ReadProcessMemory 成功而WriteProcessMemory失败?
-
发表于: 2009-2-15 22:05
-
对某个程序，无hook，
现象：
先使用PROCESS_ALL_ACCESS权限打开进程，
使用ReadProcessMemory 和 WriteProcessMemory 函数进行测试：
读取 401000H时成功，但写入 401000H时失败！
考虑到开启了硬件DEP，所以使用VirtualProtectEx修改401000H的属性为PAGE_EXECUTE_READWRITE，这下401000H可以写入了！
但写入 0683EE3h时又失败了，而且是在使用VirtualProtectEx成功返回1的情况下失败的！
读取0683EE3h是成功的！
请问是怎么回事？
如果将内存lock后会出现这样的情况吗？关键是读取是成功的啊！没有hook（SSDT\inline都没有）
现象：
先使用PROCESS_ALL_ACCESS权限打开进程，
使用ReadProcessMemory 和 WriteProcessMemory 函数进行测试：
读取 401000H时成功，但写入 401000H时失败！
考虑到开启了硬件DEP，所以使用VirtualProtectEx修改401000H的属性为PAGE_EXECUTE_READWRITE，这下401000H可以写入了！
但写入 0683EE3h时又失败了，而且是在使用VirtualProtectEx成功返回1的情况下失败的！
读取0683EE3h是成功的！
请问是怎么回事？
如果将内存lock后会出现这样的情况吗？关键是读取是成功的啊！没有hook（SSDT\inline都没有）
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
我看了下 NtWriteMemory 返回值，一次是 ：STATUS_BUS_RESET ((NTSTATUS)0x8000001DL) ，一次是：STATUS_PARTIAL_COPY ((NTSTATUS)0x8000000DL)
大家看看是什么原因 
|
|
|
|
|
|
|
|
|
|
|
|
LZ...在写之前先要将区段改成可写,这个是安全期间的重要一步
|
