Anti内存修改 内存WriteWatch跟踪技术

三月的天气

原理：
微软提供的内存WriteWatch跟踪技术,
对于申请为MEM_WRITE_WATCH的内存，
可以监控内存变更（包括外界变更）。

举例代码：仅仅是举个例子

1. #include <windows.h>
   
2. #include <stdio.h>
   
3. 
   
4. typedef struct _POSITION_
   
5. {
   
6.     DWORD dx;
   
7.     DWORD dz;
   
8.     DWORD dy;
   
9. }POSITION,*PPOSITION;
   
10. 
    
11. #define BASE_SIZE 0x1000
    
12. #define WALK_ADD 10
    
13. DWORD WINAPI WatchThread(LPVOID Param)
    
14. {
    
15.     ULONG size = 0;
    
16.     DWORD p = 0;
    
17.     UINT  Ret = 0;
    
18.     PVOID px[0x400] = { 0 };
    
19.     while (1)
    
20.     {
    
21.         size = 0x400;
    
22.         p = 0;
    
23.         Ret = GetWriteWatch(WRITE_WATCH_FLAG_RESET, Param, BASE_SIZE, px, &size, &p);
    
24.         if (Ret == 0
    
25.             && size != 0)
    
26.         {
    
27.             MessageBoxW(NULL, L"发现第三方软件修改关键内存", L"发现第三方软件", MB_OK);
    
28.         }
    
29.     }
    
30.     return 0;
    
31. }
    
32. int __cdecl main(int argc, char *argv[])
    
33. {
    
34.     //申请Base基址内存
    
35.     PVOID Base = VirtualAlloc(NULL, BASE_SIZE, MEM_RESERVE | MEM_COMMIT | MEM_WRITE_WATCH, PAGE_READWRITE);
    
36.     PPOSITION pos = (PPOSITION)Base;
    
37.     //初始化坐标
    
38.     pos->dx = pos->dy = pos->dz = 1000;
    
39.     //清空监控记录
    
40.     ResetWriteWatch(Base, BASE_SIZE);
    
41.     //开启监控线程
    
42.     HANDLE hThread = CreateThread(NULL, 0, WatchThread, Base, 0, NULL);
    
43.     while (1)
    
44.     {
    
45.         //暂停监控线程
    
46.         SuspendThread(hThread);//也可以通过其他方式进行！！！！暂停线程只是简单模型
    
47.         //模拟走路过程
    
48.         pos->dx += WALK_ADD;
    
49.         //继续监控
    
50.         ResetWriteWatch(Base, BASE_SIZE);
    
51.         ResumeThread(hThread);
    
52.         //输出X坐标
    
53.         printf("x = %d\n", pos->dx);
    
54.         Sleep(1000);
    
55.     }
    
56.     return 0;
    
57. }

复制代码