c++ - 可以 Hook ReadProcessMemory() 的事件吗？

Question

是否可以在 win32 API 中 Hook 对 ReadProcessMemory() 的调用？我想用 C 或 C++ 来完成。

我的意思是，每当另一个进程使用该函数时，它会在某个时间点绕过我的回调并提供所有信息。

Answer 1

您可以将您的代码注入(inject)到每个正在运行的进程中，并在调用进程中挂接 ReadProcessMemory，就像您挂接任何其他函数一样，但您无法从目标进程挂接它。

或者您可以使用 obRegisterCallbacks()从内核检测OpenProcess()通过按 PsProcessType 对象类型和 OB_OPERATION_HANDLE_CREATE 操作过滤。这将向您显示任何需要句柄才能调用 ReadProcessMemory() 的进程.当内核触发这些事件时，您将能够执行自己的代码。您还可以从 obRegisterCallbacks 例程与用户模式进程对话。