摘要

Guard Pages是一種操作系統(tǒng)內(nèi)存保護(hù)機(jī)制，旨在檢測(cè)和防止對(duì)內(nèi)存的非法訪問。在Windows操作系統(tǒng)中，Guard Pages通常被用作內(nèi)存頁(yè)的末尾，它們通常是未分配或不可訪問的內(nèi)存頁(yè)。

當(dāng)程序試圖訪問一個(gè)Guard Page時(shí)，操作系統(tǒng)會(huì)檢測(cè)到這種訪問并引發(fā)異常，通常是訪問沖突異常（如訪問違例異常）。這種異常的引發(fā)使得程序能夠及時(shí)檢測(cè)到內(nèi)存訪問錯(cuò)誤，從而可以采取適當(dāng)?shù)拇胧?，例如終止程序或記錄錯(cuò)誤信息，以防止?jié)撛诘陌踩┒幢焕谩?/p>

在Windows Hooking中，利用Guard Pages可以用于檢測(cè)和攔截對(duì)特定內(nèi)存區(qū)域的訪問，從而實(shí)現(xiàn)對(duì)系統(tǒng)功能的修改或監(jiān)視。這種技術(shù)通常被用于軟件調(diào)試、安全研究和惡意軟件分析等領(lǐng)域。

實(shí)現(xiàn)過程

整體代碼如下:

#include <windows.h>
#include <stdio.h>

// Hook函數(shù)功能
HANDLE hook(LPSECURITY_ATTRIBUTES rcx, SIZE_T rdx, LPTHREAD_START_ROUTINE r8, LPVOID r9, DWORD stck1, LPDWORD stck2) {
    MessageBoxA(0, "CreateThread() was called!", "YAY!", 0);
    MessageBoxA(0, "Hooked CreateThread", "YAY!", 0);
    // 這里調(diào)用原始CreateThread函數(shù)
    //return CreateThread(rcx, rdx, r8, r9, stck1, stck2);
 return NULL;
}

LONG WINAPI handler(EXCEPTION_POINTERS * ExceptionInfo) {
 if (ExceptionInfo->ExceptionRecord->ExceptionCode == STATUS_GUARD_PAGE_VIOLATION) {
  if (ExceptionInfo->ContextRecord->Rip == (DWORD64) &CreateThread) {
   printf("[!] Exception (%#llx)!" , ExceptionInfo->ExceptionRecord->ExceptionAddress);
            printf("\nClick a key to continue...\n");
   getchar();
   ExceptionInfo->ContextRecord->Rip = (DWORD64) &hook;
            printf("Modified RIP Points to: %#llx\n", ExceptionInfo->ContextRecord->Rip);
            printf("Hook Function = %#llx\n", (DWORD64) &hook);
  }
  return EXCEPTION_CONTINUE_EXECUTION;
 }
 return EXCEPTION_CONTINUE_SEARCH;
}

int main() {
 DWORD old = 0;
    DWORD param = 5000;
 AddVectoredExceptionHandler(1, &handler);
 VirtualProtect(&CreateThread, 1, PAGE_EXECUTE_READ | PAGE_GUARD, &old);
 printf("CreateThread addr = %#p\n", &CreateThread);
 
 HANDLE hThread = CreateThread(0, 0, (LPTHREAD_START_ROUTINE) &Sleep, ?m, 0, 0);
 WaitForSingleObject(hThread, param);
 printf("YEP!\n");
    
 return 0;
}

頭文件部分:

代碼從包含必要的頭文件開始，包括 <windows.h> 和 <stdio.h>，它們分別提供了Windows API和標(biāo)準(zhǔn)I/O操作的函數(shù)和定義。

Hook函數(shù):

定義了鉤子函數(shù)hook。這個(gè)函數(shù)旨在充當(dāng)CreateThread API函數(shù)的鉤子，該函數(shù)負(fù)責(zé)在Windows應(yīng)用程序中創(chuàng)建線程。 在鉤子函數(shù)內(nèi)部，顯示了兩個(gè)消息框，指示CreateThread函數(shù)已被調(diào)用，并且它已經(jīng)被這段代碼“hook”了。在這段代碼中，原始的CreateThread函數(shù)沒有被調(diào)用。

異常處理

定義了一個(gè)處理函數(shù), 并使用AddVectoredExceptionHandler將其設(shè)置為異常處理程序, 這個(gè)函數(shù)被設(shè)計(jì)用來處理異常，特別是STATUS_GUARD_PAGE_VIOLATION，這是一種在受保護(hù)的內(nèi)存頁(yè)上嘗試執(zhí)行代碼時(shí)發(fā)生的異常。 如果異常代碼是STATUS_GUARD_PAGE_VIOLATION，并且指令指針（Rip）指向CreateThread函數(shù)，它會(huì)顯示一條消息，并修改Rip指向鉤子函數(shù)。 任何嘗試調(diào)用執(zhí)行CreateThread函數(shù)的操作都將被重定向到執(zhí)行鉤子函數(shù)。

主函數(shù)

在主函數(shù)內(nèi)部，聲明了一個(gè)變量old，但未被使用。 一個(gè)param變量被設(shè)置為5000，并調(diào)用AddVectoredExceptionHandler函數(shù)將處理程序函數(shù)注冊(cè)為異常處理程序。 使用VirtualProtect在CreateThread函數(shù)上設(shè)置了一個(gè)守衛(wèi)頁(yè)面。如果嘗試執(zhí)行它，這將觸發(fā)處理程序函數(shù)。 使用printf顯示了CreateThread函數(shù)的地址。 使用CreateThread創(chuàng)建了一個(gè)新線程，但似乎并沒有提供任何實(shí)際目的，因?yàn)樵摼€程只是休眠了5000毫秒。 等待線程結(jié)束后，打印“YEP!”。

測(cè)試

將代碼編譯后執(zhí)行,效果如下:

圖片