Кроме драйвера.

-----
MicroSoft? Is it some kind of a toilet paper?

| Сообщение посчитали полезным:

внедриться в процес можно

| Сообщение посчитали полезным:

через Native API, т.е. формально способ тот же что и ReadProcessMemory

| Сообщение посчитали полезным:

ZwReadVirtualMemory считай тоже самое

| Сообщение посчитали полезным:

read_me пишет:
внедриться в процес можно
ну, а дальше просто mov eax, dword ptr [адрес]? Т.е. отловить не получится?

Asterix пишет:
через Native API, т.е. формально способ тот же что и ReadProcessMemory
а можно поподробнее?

-----
MicroSoft? Is it some kind of a toilet paper?

| Сообщение посчитали полезным:

что отловить неполучится?
я бы посоветовал просканить память на пригодность к чтению есть какаято функция и считывать нужные куски по pe заголовку к примеру

| Сообщение посчитали полезным:

Tim пишет:
Т.е. отловить не получится?
Можно сам процесс внедрения отловить. OpenProcess, CreateRemoteThread, если мне память не изменяет.

Tim пишет:
а можно поподробнее?
Уже говорили - ZwReadVirtualMemory из ntdll.dll. Она вызывается при вызове ReadProcessMemory. Опять же говорю насколько сам помню, если ошибаюсь - знающие люди меня поправят.

| Сообщение посчитали полезным:

Tim пишет:
а можно поподробнее

ZwReadVirtualMemory reads virtual memory in the user mode address range of
another process.
NTSYSAPI
NTSTATUS
NTAPI

ZwReadVirtualMemory(
IN HANDLE ProcessHandle,
IN PVOID BaseAddress,
OUT PVOID Buffer,
IN ULONG BufferLength,
OUT PULONG ReturnLength OPTIONAL
);
Parameters

ProcessHandle
A handle of a process object, representing the process from which the virtual memory
should be read.The handle must grant PROCESS_VM_READ access.

BaseAddress
The base address of the virtual memory to read.

Buffer
Points to a caller-allocated buffer or variable that receives the contents of the virtual
memory.

BufferLength
Specifies the size in bytes of Buffer and the number of bytes of virtual memory to
read.

ReturnLength
Optionally points to a variable that receives the number of bytes actually returned to
Buffer if the call was successful. If this information is not needed, ReturnLength may
be a null pointer.

Return Value

Returns STATUS_SUCCESS or an error status, such as STATUS_ACCESS_VIOLATION or
STATUS_PROCESS_IS_TERMINATING.

Related Win32 Functions
ReadProcessMemory.

-----
Research is my purpose

| Сообщение посчитали полезным: