здр.
Делаю инжект в процесс, всё по стандарту, резервирую память (VirtualAllocEx) пишу в неё (WriteProcessMemory) и вызываю CreateRemoteThread всё нормально поток стартует.
Олькой подрубаюсь к процессу, процесс падает при старте нового потока, адрес старта потока равен адресу моей функции которую я указал в CreateRemoteThread , но там ничего нет, просто нули в памяти процесса, вопрос как может такое произойти если WriteProcessMemory возвращяет (dwWritten) количество записанных байт равное размеру моего EXE. А в памяти у процесса куда внедряюсь ничего нет
www.everfall.com/paste/id.php?37xpw0ltonov код

| Сообщение посчитали полезным:

Я функцией CreateRemoteThread пока не баловался, но есть предположения:
1. Компилятор мог разместить функции RemoteMain RemoteMainEnd в разных местах и тогда DWORD(&RemoteMainEnd)-DWORD(&RemoteMain) будет неверно. Проверить можно только в отладчике.
2. Каким образом организован выход из потока, созданного CreateRemoteThread?
3. Немного не понял это ret = WriteProcessMemory(Process,dwNewModule,EntryPoint, DWORD(&RemoteMainEnd)-DWORD(&RemoteMain), &dwWritten);
Делается инженкт кода в функции RemoteMain? Тогда почему адрес с которого будем переписывать код явл-ся EntryPoint?
Правильнее тогда ret = WriteProcessMemory(Process,dwNewModule,&RemoteMain, DWORD(&RemoteMainEnd)-DWORD(&RemoteMain), &dwWritten);

| Сообщение посчитали полезным:

1. В компиляторе смотрел по поводу адресов функций, всё норм.
2. Выход из CreateRemoteThread ? Функция которая стартует просто делает return 0; фактически базонезависимый код
3. ну смотри выше в коде bool ret=false; ret = WriteProcess.. return ret;
EntryPoint это и есть RemoteMain :
меня беспокоет то что dwWritten возвращяет 150 кб ( размер EXEшника моего ) а в процессе куд инжекчусь ничего нет по адресу куда инжектил

| Сообщение посчитали полезным:

Так ты же аллокируешь произвольную память, а запускаешь поток по EntryPoint.
Запускай с параметром, возвращенным виртуал аллок.

| Сообщение посчитали полезным:

HoBleen
В точку. А я и не заметил...

| Сообщение посчитали полезным:

HoBleen дык VirtualAlloc возвращяет LPVOID , как мне его переделать в 'unsigned long (__stdcall*)(void*)' ?

| Сообщение посчитали полезным:

Называется приведение типов
CreateRemoteThread(...(LPTHREAD_START_ROUTINE)lpMem...)

| Сообщение посчитали полезным:

HoBleen Спасибо !

| Сообщение посчитали полезным: