检测内存访问进程

Question

我想检查一个应用程序是否试图操纵一个特定的进程（例如钩子本身）。我无法找到一个合适的方法来完成这一点。计算校验和是否可以运行？如果不是我怎么能检测到这种情况？

Answer 1

其他进程不能在你的进程中挂钩，可以修改内存但是为了挂钩这个代码必须在你的地址空间，这可以在启动时将DLL注入到你的进程中（在运行时注入dll是一个很难），你可以通过在你的程序中列出DLL并在其代码中搜索一些ReadProcessMemory,WriteProcessMemory,OpenProcess,CallNextHookEx函数调用来容易地检查这个。要做到这一点，得到的代码中的函数和搜索值的地址（GetProcAddress）（您可以添加一些asm call预测用于严格范围结果）。

您可以检查什么是错的，在磁盘和内存中您的PE文件，当DLL注入在启动的时候是发生在此之后，从文件复制到记忆您的PE文件应该被损坏，最后的dll库后您应该用附加的dll导入覆盖调试符号。这种修改可以在文件中完成，与内存相同。

当您使用C＃语言时，最好的方法但可能不会容易的是混淆您的代码。我认为这是一个很好的方法，因为你不挂钩你不知道如何工作，因为你不知道你必须做什么钩子和在哪里。但是，为了好的混淆C＃代码，你必须找到好的软件，并且可能付出的代价并不低。