摘要
Guard Pages是一种操作系统内存保护机制,旨在检测和防止对内存的非法访问。在Windows操作系统中,Guard Pages通常被用作内存页的末尾,它们通常是未分配或不可访问的内存页。
当程序试图访问一个Guard Page时,操作系统会检测到这种访问并引发异常,通常是访问冲突异常(如访问违例异常)。这种异常的引发使得程序能够及时检测到内存访问错误,从而可以采取适当的措施,例如终止程序或记录错误信息,以防止潜在的安全漏洞被利用。
在Windows Hooking中,利用Guard Pages可以用于检测和拦截对特定内存区域的访问,从而实现对系统功能的修改或监视。这种技术通常被用于软件调试、安全研究和恶意软件分析等领域。
实现过程
整体代码如下:
头文件部分:
代码从包含必要的头文件开始,包括 <windows.h> 和 <stdio.h>,它们分别提供了Windows API和标准I/O操作的函数和定义。
Hook函数:
定义了钩子函数hook。这个函数旨在充当CreateThread API函数的钩子,该函数负责在Windows应用程序中创建线程。 在钩子函数内部,显示了两个消息框,指示CreateThread函数已被调用,并且它已经被这段代码“hook”了。在这段代码中,原始的CreateThread函数没有被调用。
异常处理
定义了一个处理函数, 并使用AddVectoredExceptionHandler将其设置为异常处理程序, 这个函数被设计用来处理异常,特别是STATUS_GUARD_PAGE_VIOLATION,这是一种在受保护的内存页上尝试执行代码时发生的异常。 如果异常代码是STATUS_GUARD_PAGE_VIOLATION,并且指令指针(Rip)指向CreateThread函数,它会显示一条消息,并修改Rip指向钩子函数。 任何尝试调用执行CreateThread函数的操作都将被重定向到执行钩子函数。
主函数
在主函数内部,声明了一个变量old,但未被使用。 一个param变量被设置为5000,并调用AddVectoredExceptionHandler函数将处理程序函数注册为异常处理程序。 使用VirtualProtect在CreateThread函数上设置了一个守卫页面。如果尝试执行它,这将触发处理程序函数。 使用printf显示了CreateThread函数的地址。 使用CreateThread创建了一个新线程,但似乎并没有提供任何实际目的,因为该线程只是休眠了5000毫秒。 等待线程结束后,打印“YEP!”。
测试
将代码编译后执行,效果如下:
图片