VirtualProtectEx, ERROR_INVALID_PARAMETER (ошибка 87) - PullRequest
0 голосов
/ 26 марта 2020

Я пытаюсь написать функцию, которая может через память процесса. Я заметил, что ReadProcessMemory не будет работать в регионах с разрешениями, установленными в PAGE_NOACCESS или PAGE_GUARD. Я решил, что буду использовать VirtualProtectEx для временного изменения разрешений на этих страницах, чтобы иметь возможность их читать. Похоже, это работает в большинстве случаев, но всегда будет несколько случаев, когда VirtualProtectEx завершится ошибкой с ERROR_INVALID_PARAMETER. Я трижды проверил все параметры, и они кажутся правильными, и я даже добавил код, который снова вызвал бы VirtualQueryEx, чтобы гарантировать, что переданные параметры все еще действительны. Что вызывает это и как я могу обойти это? Я добавил ниже минимальный (настолько минимальный, насколько я понял) код, который воспроизводит проблему.

int protect_test(DWORD pid) {

    HANDLE phandle;

    struct _MEMORY_BASIC_INFORMATION mbi;
    SIZE_T mbi_size = sizeof(struct _MEMORY_BASIC_INFORMATION);
    DWORD state;
    SIZE_T regionsize;

    int bytes_retrieved;
    void* lpAddress;
    void* lpBaseAddress;
    void* lpAddress2;
    int error;
    struct _SYSTEM_INFO lpSystemInfo;
    DWORD pagesize;

    DWORD protect;
    DWORD newprotect;
    DWORD lpflOldProtect;
    DWORD lpExitCode = 0;

    // get the page size
    GetSystemInfo(&lpSystemInfo);
    pagesize = lpSystemInfo.dwPageSize;

    // get handle to process
    if ((phandle = OpenProcess(PROCESS_ALL_ACCESS, 0, pid)) == NULL) {
        return(-1);
    }

    // main loop
    lpAddress = 0;
    while (!((bytes_retrieved = VirtualQueryEx(phandle, lpAddress, &mbi, mbi_size)) == 0 && (error = GetLastError()) == ERROR_INVALID_PARAMETER)) {

        // Check for error -2
        if (GetExitCodeProcess(phandle, &lpExitCode) && lpExitCode != 259) {
            // process was closed abruptly 
            return -2;
        }

        // handle VirtualQueryEx fail
        if (bytes_retrieved == 0) {
            lpBaseAddress = lpAddress;
            lpAddress2 = (unsigned long long) lpAddress + pagesize;
            lpAddress = lpAddress2;
            continue;
        }

        // set variables so we don't have to refernce mbi directly 
        lpBaseAddress = mbi.BaseAddress;
        regionsize = mbi.RegionSize;
        lpAddress2 = (unsigned long long)lpBaseAddress + regionsize;
        state = mbi.State;
        protect = mbi.Protect;


        if ( state == MEM_COMMIT && ((protect & PAGE_NOACCESS) || (protect & PAGE_GUARD)) ) {

            // some debug print
            //printf(" State: 0x%x Protection: 0x%x Regionsize: 0x%llx %p - %p\n", state, protect, regionsize, lpBaseAddress, (unsigned long long)lpAddress2 - 1);

            // The problematic VirtualProtectEx call
            newprotect = PAGE_EXECUTE_READWRITE;
            if (VirtualProtectEx(phandle, lpBaseAddress, regionsize, newprotect, &lpflOldProtect) == NULL) {
                printf("   Failed to change region's protection to 0x%x. Base address: 0x%p Errorcode: 0x%x\n", newprotect, lpBaseAddress, GetLastError());
                printf("   VirtualQuery returns %d. The base address returned was 0x%o. The regionsize returned is 0x%llx\n", VirtualQueryEx(phandle, lpBaseAddress, &mbi, mbi_size), mbi.BaseAddress, mbi.RegionSize);
                return(1);
            }

            // set things back
            if (VirtualProtectEx(phandle, lpBaseAddress, regionsize, lpflOldProtect, &lpflOldProtect) == 0) {
                printf("   Failed to change region's protection back to its previous state\n", pid);
            }

        }

        // update lpAddress
        lpAddress = lpAddress2;
    }

    return 0;
}

1 Ответ

0 голосов
/ 18 апреля 2020

Вы не можете изменять права доступа к этой странице.

Использование

if ( state == MEM_COMMIT && ((protect & PAGE_NOACCESS) || (protect & PAGE_GUARD)) )

для фильтрации плохой памяти - это все, что вам нужно, вам не нужно изменить разрешения для страниц с другими состояниями и защитами. «Скрытые данные» на других типах страниц будут ЧРЕЗВЫЧАЙНО редкими, например, с вероятностью 0,000001%, даже не стоит их рассматривать, если у вас нет причин подозревать их в случае работы над каким-то очень продвинутым механизмом защиты.

...