Обнаружение доступа к памяти для процесса

Question

Я пытаюсь проверить, пытается ли приложение манипулировать определенным процессом (например, к нему привязывает). Я не мог найти подходящего подхода для достижения этого. Возможно ли вычислительная контрольная сумма над запущенным процессом? Если это не так, я могу обнаружить эту ситуацию?

Answer 1

Другие процессы не могут сделать крючки в вашем процессе, могут изменять память, но для того, чтобы сделать крючки, этот код должен быть в вашем адресном пространстве, это можно сделать, чтобы вставлять DLL в ваш процесс при запуске (во время выполнения dll dll жесткий), вы можете легко это проверить, указав DLL в своем процессе и выполнив поиск в своих кодах функций ReadProcessMemory, WriteProcessMemory, OpenProcess, CallNextHookEx. Для этого введите адрес (GetProcAddress) функции и значения поиска в коде (вы можете добавить некоторые asm call прогнозы для этого для ограниченного диапазона).

Вы можете проверить, что случилось с вашим файлом PE в диске и в памяти, когда инъекции DLL во время запуска было появление, то ваш файл PE после был скопирован в память из файла должен быть поврежден, после последней библиотеки длл вы должны быть перезаписаны символы отладки с дополнительным импортом dll. Эта модификация может быть выполнена в файле, таком же, как в памяти.

Лучший способ, но, вероятно, вам будет нелегко, если вы используете язык C#, обфускайте свой код. Я думаю, что это хороший метод, потому что вы не зацепили что-то, что вы не знаете, как работает, потому что вы не знаете, какой крюк вы должны делать и где. Но для хорошего обфускации кода на C# вы должны найти хорошее программное обеспечение для этого и, вероятно, заплатить не по низкой цене.