他プロセス・メモリのRead、Writeがしたく、Visual Studio 2008 VC++にて、
下【ソース・コード・イメージ】に示すようなコードを作成して試してみましたが、
他プロセス・メモリのRead、Write(ReadProcessMemory、WriteProcessMemory)が
期待通りにできません。
他プロセス・メモリのReadについては、ReadPcocessMemory APIによるものでは
期待通りの結果にはなりませんでしたが、
直接の代入等によるネイティブ・コード(例: v = *p : mov命令等によるメモリ読み取り)
ではできるようです。
他プロセス・メモリの書き換えについては、直接の代入等によるネイティブ・コード
(例: *p = v : mov命令等によるメモリ書き込み)では、
アクセス保護例外が起きてしまいます。
他プロセス・メモリの書き換えについては、WriteProcessMemory APIによる方法しか
ないものと思います。
Visual Studio 2008のデバッグ・ツールでは、他プロセス・メモリの書き換えが
できています。 ですので、何かを見落としているに違いありません。
一体何を見落としているのかご指摘頂ければ、あるいは参考になるページを
ご紹介いただければ幸いに思います。
実際にやろうとしているのは、他プロセスIMPORTテーブル 特定APIの
ジャンプ・ベクタの変更です。
【本件について参考にした資料、URLなど】
・ http://codezine.jp/article/detail/426?p=2
・ http://www7a.biglobe.ne.jp/~tsuneoka/win32tech/18.html
・ Advanced Windows 第５版 ・・・ 日経ＢＰソフトプレス ISBN978-4-89100-593-1
第２２章 DLLインジェクションとAPIフック
・ セキュア ソフトウェア ・・・ 日経ＢＰ社 ISBN4-8222-8210-4
第３章 リバースエンジニアリングとプログラムの読解 ／ シンプルなx86デバッガ
【他プロセスのメモリRead、Writeをするために使用するAPI】
他プロセス・メモリを読み書きするためのチェック・ポイントは、
そのために使用するAPIの呼び出しパラメータの設定内容になるかと思います。
下に使用したAPIと設定概要を示します。
(1) CreateProcess
ターゲット・プロセスは、dwCreationFlagsをDEBUG_PROCESSで
生成。
プロセス・アクセス権の設定変更は、特に行っていません。
(2) VirtualQueryEx
ターゲット・プロセスのRead、Writeしたいメモリ・アドレスは、
取得済みで、デバッガからそれが誤っていないことを確認すみです。
ちなみに、メモリはコード・ページです。
ターゲット・メモリのアクセス権を知るため、本APIを使用。
ターゲット・プロセスのプロセス・ハンドルを第１引数にして、本APIを
呼び出した。 APIが返すMEMORY_BSIC_INFORMATIONのProtectメンバは、
0x80(=PAGE_EXECUTE_WRITECOPY)となっていた。
(3) VirtualProtectEx
第１引数のhProcessをターゲットのプロセス・ハンドルに、
flNewProtectは次の値にしてみてそれぞれ確認。
・ PAGE_EXECUTE_READWRITE
・ PAGE_READWRITE
・ PAGE_WRITECOPY
(4) ReadProcessMemory、またはWriteProcessMemory
第１引数のhProcessをターゲットのプロセス・ハンドルに、
ReadProcessMemory、またWriteProcessMemoryを呼び出した。
APIの戻り値はTRUEであったが、期待とは異なり次のような結果となった。
・ ReadProcessMemory
0x00ではない値が入っているはずなのに、0x00と読まれた。
・ WriteProcessMemory
書き込みしようとした値が書かれず、元の値のままであった。
Read、Writeしたいメモリは、デバッガのデバッグ/メモリ・ツールで
読めています。
書き込みができていないことは、その後の処理が書き込み前と
同じとなってしまうことから判断しました。
【ソース・コード・イメージ】
/*
* ターゲット・プロセスのメモリ書き換え
*
* 以下の処理は、デバッグ・メイン・ループにおいて、
* CREATE_PROCESS_DEBUG_EVENT, LOAD_DLL_DEBUG_EVENT等の後の
* 最初のBREAKPOINTイベントの処理として行っています。
*/
DWORD ReplaceMemory(
PVOID AddrRW,
PVOID* pWdata,
・・・ )
{
void* rdata ;
MEMORY_BASIC_INFORMATION mbi ;
DWORD dwOldProtect ;
if ( !::VirtualQueryEx( m_hTarget, AddrRW, &mbi, sizeof(
MEMORY_BASIC_INFORMATION ) ) ) {
return( ::GetLastError() ) ;
}
if ( !::VirtualProtectEx(
m_hTarget, mbi.BaseAddress, mbi.RegionSize,
PAGE_EXECUTE_READWRITE, &dwOldProtect ) ) {
return( ::GetLastError() ) ;
}
if ( !::ReadProcessMemory(
m_hTarget, AddrRW, &rdata, sizeof( rdata ), NULL ) ) {
return( ::GetLastError() ) ;
}
if ( !::WriteProcessMemory(
m_hTarget, AddrRW, pWdata, sizeof( *pWdata ), NULL ) ) {
return( ::GetLastError() ) ;
}
・・・・・・・
}
/*
* メイン・ループ
*/
void DebuggerMain()
{
PVOID AddrRW ;
PVOID wdata = 0x12345678 ;
HANDLE m_hTarget ; // ターゲット・プロセス・ハンドル
DEBUG_EVENT de ; // デバッグ・イベント
BOOL bFirstBreak = TRUE ; // 初めてのブレーク
::CreateProcess( ..., DEBUG_PROCESS, ... ) ;
while ( ::WaitForDebugEvent( &de, INFINITE ) ) {
switch ( de.dwDebugEventCode ) { // イベント・コード ?
case LOAD_DLL_DEBUG_EVENT:
・・・・・
case CREATE_PROCESS_DEBUG_EVENT: // プロセス生成イベント ?
・・・・・
case CREATE_THREAD_DEBUG_EVENT: // スレッド生成イベント ?
・・・・・
case EXIT_PROCESS_DEBUG_EVENT: // プロセス終了イベント ?
・・・・・
case EXCEPTION_DEBUG_EVENT: // 例外キャッチ ?
// ブレークポイント例外 ?
if ( de.u.Exception.ExceptionRecord.ExceptionCode
== EXCEPTION_BREAKPOINT ) {
if ( bFirstBreak ) { // 初めてのブレーク ?
bFirstBreak = FALSE ;
ReplaceMemory( AddrRW, &wdata ) ; // ターゲット・プロセスのメモリ書き換え
・・・・・
}
・・・・・
