Hooks: Warum müssen wir VirtualProtect() erneut ausführen, um Berechtigungen wiederherzustellen?

Question

Hier ist ein Standard-Code, wo wir den Hook installieren einige Bytes zu Beginn der Funktion von unserem Interesse neu zu schreiben. Meine Frage ist: Warum müssen wir ein Stück umgeschriebene Erinnerung neu beschriften? Können wir es nicht einfach mit PAGE_EXECUTE_READWRITE Berechtigungen verlassen? Wir nehmen hier an, dass wir ständig Original-Bytes wiederherstellen und erneut rehaken müssen.

if (VirtualProtect(funcPtr, 6, PAGE_EXECUTE_READWRITE, &dwProtect)) // make memory writable 
{ 
    ReadProcessMemory(GetCurrentProcess(), (LPVOID)funcPtr, Hook::origData, 6, 0); // save old data 
    DWORD offset = ((DWORD)hook - (DWORD)funcPtr - 5); //((to)-(from)-5) 
    memcpy(&jmp[1], &offset, 4); // write address into jmp 
    memcpy(Hook::hookData, jmp, 6); // save hook data 
    WriteProcessMemory(GetCurrentProcess(), (LPVOID)funcPtr, jmp, 6, 0); // write jmp 
    VirtualProtect(funcPtr, 6, dwProtect, NULL); // reprotect 
} 

Answer 1

Sobald die Tür geöffnet ist, kann jeder durchgehen. Wenn Sie den Schreibschutz aus einem Speicherbereich entfernt haben, kann jeder Code diesen Speicher aktualisieren - nicht nur Ihren Code. Der Speicher hat keine Möglichkeit zu wissen, dass Ihr (legitimer) Code derjenige ist, der ihn gegen einige mögliche Malware aktualisiert, oder einfach nur eine fehlerhafte DLL, die ebenfalls in den Prozessbereich geladen wird. Das erneute Schützen hilft dabei, sich gegen den nicht-Ihren-Code zu schützen, der die Speicherstellen aktualisiert, die Sie ändern möchten.