- ubuntu12.04环境下使用kvm ioctl接口实现最简单的虚拟机
- Ubuntu 通过无线网络安装Ubuntu Server启动系统后连接无线网络的方法
- 在Ubuntu上搭建网桥的方法
- ubuntu 虚拟机上网方式及相关配置详解
CFSDN坚持开源创造价值,我们致力于搭建一个资源共享平台,让每一个IT人在这里找到属于你的精彩世界.
这篇CFSDN的博客文章C++ 使用CRC32检测内存映像完整性的实现步骤由作者收集整理,如果你对这篇文章有兴趣,记得点赞哟.
通常程序中至少包括了代码段,数据段,而数据段中所存储的数据是经常会发生变动的,例如我们的全局变量,静态变量等都会默认存储在数据段,而代码段则不会发生变化,我们在检验时只需要注重.text内存段中的数据完整性即可,针对内存的校验同样可以抵御调试器的CC断点,该断点原理就是在下端处写入int3指令,同样可以检测得到.
校验思路如下 1.首先从内存得到PE的代码节的RVA和节大小 2.根据得到的RVA和节大小计算出crc32或是RC4值 3.读取自身保存的原始CRC32值,与校验结果进行比较 。
1.先来实现第一步,读取内存映像的起始地址与大小,我们可以这样做.
#include <stdio.h>#include <windows.h>int main(int argc, char *argv[]){ PIMAGE_DOS_HEADER pDosHeader = NULL; PIMAGE_NT_HEADERS pNtHeader = NULL; PIMAGE_SECTION_HEADER pSecHeader = NULL; DWORD ImageBase; // 获取基地址 ImageBase = (DWORD)GetModuleHandle(NULL); // 定位到PE头结构 pDosHeader = (PIMAGE_DOS_HEADER)ImageBase; // 定位到NT头 pNtHeader = (PIMAGE_NT_HEADERS32)((DWORD)pDosHeader + pDosHeader->e_lfanew); // 定位第一个区块地址,因为默认的话第一个就是.text节 pSecHeader = IMAGE_FIRST_SECTION(pNtHeader); // 取出节内偏移与节表长度 DWORD va_base = ImageBase + pSecHeader->VirtualAddress; // 定位代码节va基地址 DWORD sec_len = pSecHeader->Misc.VirtualSize; // 获取代码节长度 printf("镜像基址(.text): %x --> 镜像大小: %x \n", va_base, sec_len); system("pause"); return 0;}
2.第二部就是计算校验和,然后计算该节的CRC32值,并存入全局变量,也就是程序打开后自动初始化计算一次内存crc32值并放入全局变量中,然后开一个线程,每三秒检测一次内存变化,如果变化则终止执行或弹窗提示,你也可以提前计算处校验和并写入PE空缺位置.
#include <stdio.h>#include <windows.h>DWORD CRC32(BYTE* ptr, DWORD Size){ DWORD crcTable[256], crcTmp1; // 动态生成CRC-32表 for (int i = 0; i<256; i++) { crcTmp1 = i; for (int j = 8; j>0; j--) { if (crcTmp1 & 1) crcTmp1 = (crcTmp1 >> 1) ^ 0xEDB88320L; else crcTmp1 >>= 1; } crcTable[i] = crcTmp1; } // 计算CRC32值 DWORD crcTmp2 = 0xFFFFFFFF; while (Size--) { crcTmp2 = ((crcTmp2 >> 8) & 0x00FFFFFF) ^ crcTable[(crcTmp2 ^ (*ptr)) & 0xFF]; ptr++; } return (crcTmp2 ^ 0xFFFFFFFF);}// 检查内存中CRC32特征值DWORD CheckMemory(){ PIMAGE_DOS_HEADER pDosHeader = NULL; PIMAGE_NT_HEADERS pNtHeader = NULL; PIMAGE_SECTION_HEADER pSecHeader = NULL; DWORD ImageBase; // 获取基地址 ImageBase = (DWORD)GetModuleHandle(NULL); // 定位到PE头结构 pDosHeader = (PIMAGE_DOS_HEADER)ImageBase; pNtHeader = (PIMAGE_NT_HEADERS32)((DWORD)pDosHeader + pDosHeader->e_lfanew); // 定位第一个区块地址,因为默认的话第一个就是.text节 pSecHeader = IMAGE_FIRST_SECTION(pNtHeader); DWORD va_base = ImageBase + pSecHeader->VirtualAddress; // 定位代码节va基地址 DWORD sec_len = pSecHeader->Misc.VirtualSize; // 获取代码节长度 //printf("镜像基址(.text): %x --> 镜像大小: %x \n", va_base, sec_len); DWORD CheckCRC32 = CRC32((BYTE*)(va_base), sec_len); // printf(".text节CRC32 = %x \n", CheckCRC32); return CheckCRC32;}int main(int argc,char *argv[]){ // 用于保存初始化时 .text 节中的CRC32值 DWORD OriginalCRC32 = 0; // 初始化时,给全局变量赋值,记录下初始的CRC32值 OriginalCRC32 = CheckMemory(); while (1) { Sleep(3000); DWORD NewCRC32 = CheckMemory(); if (OriginalCRC32 == NewCRC32) printf("程序没有被打补丁. \n"); else printf("程序被打补丁 \n"); } system("pause"); return 0;}
上方代码是保护了整个程序,在实际应用中,为了提高效率,有时我们只需要保护其中一个片段代码就好,这样可以提高效率,所有我们对上面代码稍作修改即可实现针对特定片段的内存校验.
#include <stdio.h>#include <windows.h>DWORD CRC32(BYTE* ptr, DWORD Size){ DWORD crcTable[256], crcTmp1; // 动态生成CRC-32表 for (int i = 0; i<256; i++) { crcTmp1 = i; for (int j = 8; j>0; j--) { if (crcTmp1 & 1) crcTmp1 = (crcTmp1 >> 1) ^ 0xEDB88320L; else crcTmp1 >>= 1; } crcTable[i] = crcTmp1; } // 计算CRC32值 DWORD crcTmp2 = 0xFFFFFFFF; while (Size--) { crcTmp2 = ((crcTmp2 >> 8) & 0x00FFFFFF) ^ crcTable[(crcTmp2 ^ (*ptr)) & 0xFF]; ptr++; } return (crcTmp2 ^ 0xFFFFFFFF);}// 检查内存中CRC32特征值DWORD CheckMemory(DWORD va_base, DWORD sec_len){ PIMAGE_DOS_HEADER pDosHeader = NULL; PIMAGE_NT_HEADERS pNtHeader = NULL; PIMAGE_SECTION_HEADER pSecHeader = NULL; DWORD ImageBase; ImageBase = (DWORD)GetModuleHandle(NULL); pDosHeader = (PIMAGE_DOS_HEADER)ImageBase; pNtHeader = (PIMAGE_NT_HEADERS32)((DWORD)pDosHeader + pDosHeader->e_lfanew); // 以下三条语句可用于确定位置 // pSecHeader = IMAGE_FIRST_SECTION(pNtHeader); // DWORD va_base1 = ImageBase + pSecHeader->VirtualAddress; // 定位代码节va基地址 // DWORD sec_len1 = pSecHeader->Misc.VirtualSize; // 获取代码节长度 // printf("镜像基址(.text): %x --> 镜像大小: %x \n", va_base1, sec_len1); DWORD CheckCRC32 = CRC32((BYTE*)(va_base), sec_len); return CheckCRC32;}int main(int argc, char *argv[]){ // 用于保存初始化时 .text 节中的CRC32值 DWORD OriginalCRC32 = 0; DWORD begin_addr, end_addr, size; // 获取到两个位置的偏移地址 __asm mov begin_addr, offset begin; __asm mov end_addr, offset end; // 计算出 两者内存差值 size = end_addr - begin_addr; // 校验指定内存位置 OriginalCRC32 = CheckMemory(begin_addr, size); while (1) { begin: // 标记为需要保护的区域 printf("hello lyshark \n"); printf("hello lyshark \n"); printf("hello lyshark \n"); end: // 保护区域声明结束 if (OriginalCRC32 == CheckMemory(begin_addr, size)) printf("此区域没有被破解 \n"); else printf("此区域已被修改\n"); Sleep(3000); } system("pause"); return 0;}
通过使用磁盘校验结合内存校验两种方式综合保护,可以极大的提高软件的安全性,绕过方式则是找到哪儿跟全局变量将其修正为正确的值即可,同样的也可以更暴力一些直接将判断条件改掉均可.
文章出处:https://www.cnblogs.com/lyshark 。
以上就是C++ 使用CRC32检测内存映像完整性的实现步骤的详细内容,更多关于C++用CRC32检测内存映像完整性的资料请关注我其它相关文章! 。
原文链接:https://www.cnblogs.com/LyShark/p/13657453.html 。
最后此篇关于C++ 使用CRC32检测内存映像完整性的实现步骤的文章就讲到这里了,如果你想了解更多关于C++ 使用CRC32检测内存映像完整性的实现步骤的内容请搜索CFSDN的文章或继续浏览相关文章,希望大家以后支持我的博客! 。
我在具有 2CPU 和 3.75GB 内存 (https://aws.amazon.com/ec2/instance-types/) 的 c3.large Amazon EC2 ubuntu 机器上运
我想通过用户空间中的mmap-ing并将地址发送到内核空间从用户空间写入VGA内存(视频内存,而不是缓冲区),我将使用pfn remap将这些mmap-ed地址映射到vga内存(我将通过 lspci
在 Mathematica 中,如果你想让一个函数记住它的值,它在语法上是很轻松的。例如,这是标准示例 - 斐波那契: fib[1] = 1 fib[2] = 1 fib[n_]:= fib[n] =
我读到动态内存是在运行时在堆上分配的,而静态内存是在编译时在堆栈上分配的,因为编译器知道在编译时必须分配多少内存。 考虑以下代码: int n; cin>>n; int a[n]; 如果仅在运行期间读
我是 Python 的新手,但我之前还不知道这一点。我在 for 循环中有一个基本程序,它从站点请求数据并将其保存到文本文件但是当我检查我的任务管理器时,我发现内存使用量只增加了?长时间运行时,这对我
我正在设计一组数学函数并在 CPU 和 GPU(使用 CUDA)版本中实现它们。 其中一些函数基于查找表。大多数表占用 4KB,其中一些占用更多。基于查找表的函数接受一个输入,选择查找表的一两个条目,
读入一个文件,内存被动态分配给一个字符串,文件内容将被放置在这里。这是在函数内部完成的,字符串作为 char **str 传递。 使用 gdb 我发现在行 **(str+i) = fgetc(aFil
我需要证实一个理论。我正在学习 JSP/Java。 在查看了一个现有的应用程序(我没有写)之后,我注意到一些我认为导致我们的性能问题的东西。或者至少是其中的一部分。 它是这样工作的: 1)用户打开搜索
n我想使用memoization缓存某些昂贵操作的结果,这样就不会一遍又一遍地计算它们。 两个memoise和 R.cache适合我的需要。但是,我发现缓存在调用之间并不可靠。 这是一个演示我看到的问
我目前正在分析一些 javascript shell 代码。这是该脚本中的一行: function having() { memory = memory; setTimeout("F0
我有一种情况,我想一次查询数据库,然后再将整个数据缓存在内存中。 我得到了内存中 Elasticsearch 的建议,我用谷歌搜索了它是什么,以及如何在自己的 spring boot 应用程序中实现它
我正在研究 Project Euler (http://projecteuler.net/problem=14) 的第 14 题。我正在尝试使用内存功能,以便将给定数字的序列长度保存为部分结果。我正在
所以,我一直在做 Java 内存/注意力游戏作业。我还没有达到我想要的程度,它只完成了一半,但我确实让 GUI 大部分工作了......直到我尝试向我的框架添加单选按钮。我认为问题可能是因为我将 JF
我一直在尝试使用 Flask-Cache 的 memoize 功能来仅返回 statusTS() 的缓存结果,除非在另一个请求中满足特定条件,然后删除缓存。 但它并没有被删除,并且 Jinja 模板仍
我对如何使用 & 运算符来减少内存感到非常困惑。 我可以回答下面的问题吗? clase C{ function B(&$a){ $this->a = &$a; $thi
在编写代码时,我遇到了一个有趣的问题。 我有一个 PersonPOJO,其 name 作为其 String 成员之一及其 getter 和 setter class PersonPOJO { priv
在此代码中 public class Base { int length, breadth, height; Base(int l, int b, int h) { l
Definition Structure padding is the process of aligning data members of the structure in accordance
在 JavaScript Ninja 的 secret 中,作者提出了以下方案,用于在没有闭包的情况下内存函数结果。他们通过利用函数是对象这一事实并在函数上定义一个属性来存储过去调用函数的结果来实现这
我正在尝试找出 map 消耗的 RAM 量。所以,我做了以下事情;- Map cr = crPair.collectAsMap(); // 200+ entries System.out.printl
我是一名优秀的程序员,十分优秀!