Haczyki: dlaczego musimy ponownie VirtualProtect(), aby przywrócić uprawnienia?

Question

Oto niektóre standardowe fragmenty kodu, w których instalujemy hook przepisując kilka bajtów na początku funkcji naszego zainteresowania. Moje pytanie brzmi: dlaczego musimy ponownie zabezpieczyć kawałek przepisanej pamięci? Czy nie możemy zostawić go z uprawnieniami PAGE_EXECUTE_READWRITE? Zakładamy tutaj, że musimy nieustannie przywracać oryginalne bajty i ponownie nawiązywać połączenia.

if (VirtualProtect(funcPtr, 6, PAGE_EXECUTE_READWRITE, &dwProtect)) // make memory writable 
{ 
    ReadProcessMemory(GetCurrentProcess(), (LPVOID)funcPtr, Hook::origData, 6, 0); // save old data 
    DWORD offset = ((DWORD)hook - (DWORD)funcPtr - 5); //((to)-(from)-5) 
    memcpy(&jmp[1], &offset, 4); // write address into jmp 
    memcpy(Hook::hookData, jmp, 6); // save hook data 
    WriteProcessMemory(GetCurrentProcess(), (LPVOID)funcPtr, jmp, 6, 0); // write jmp 
    VirtualProtect(funcPtr, 6, dwProtect, NULL); // reprotect 
} 

Answer 1

Po otwarciu drzwi każdy może przejść. Jeśli usunąłeś ochronę przed zapisem z zakresu pamięci, dowolny kod może aktualizować tę pamięć - nie tylko twój kod. Pamięć nie ma możliwości dowiedzenia się, że twój (uprawniony) kod aktualizuje ją w porównaniu z jakimś możliwym złośliwym oprogramowaniem, a nawet zwykłą błędną biblioteką DLL, która również jest ładowana do przestrzeni procesu. Ponowne zabezpieczenie chroni przed niezaprogramowaniem kodu, które chcesz zmienić.