Sobre VirtualQueryEx

[Ryokusei 21]

Recomenda-se a prévia leitura destes tópicos:

-

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

-

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

-

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

VirtualQueryEx recupera informação sobre uma séria de páginas dentro do espaço de endereço virtual de um processo.

 

Sintaxe:

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

O mais importante está em lpBuffer, que é do tipo PMEMORY_BASIC_INFORMATION.

O struct MEMORY_BASIC_INFORMATION contém os seguintes dados:

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

Sobre o tipo de proteção temos diversas constantes, sendo alguns exemplos: PAGE_NOACCESS, PAGE_EXECUTE, PAGE_EXECUTE_READWRITE, PAGE_READONLY.

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

Sobre o State temos as constantes:

 

[table=class: grid, align: left]

[tr]

[td]Estado[/td]

[td]Significado[/td]

[/tr]

[tr]

[td]MEM_COMMIT (0x1000)[/td]

[td]Indica que o estado em que uma área de memória física foi alocada[/td]

[/tr]

[tr]

[td]MEM_FREE (0x10000)[/td]

[td]Indica páginas livres, não acessível por processos. Para páginas livres as informações de AllocationBase, AllocationProtect, Protect, e Type são indefinidas[/td]

[/tr]

[tr]

[td]MEM_RESERVE (0x2000)[/td]

[td]Indica uma série de páginas reservadas no processo que não estão em uso, mas prontas para receber alocação física[/td]

[/tr]

[/table]

 

É importante notar que o State é a primeira coisa a se verificar quando se está construindo um Memory Scanner.

 

O Type não será abordado, vide o disclaimer. Para mais informações, pesquise sobre mapeamento de memória.

 

Para um scanner de memória é importante:

 

- Ler as páginas que estejam alocadas, ou seja, o State deve ser MEM_COMMIT;

- Ter acesso à página de memória, ou seja, o Protect não pode ser PAGE_NOACCESS;

- O tamanho da página lida pode ser alocado e copiado diretamente para o processo do Memory Scanner em um único bloco, pois páginas geralmente possuem um tamanho relativamente pequeno.

 

Com essas informações é possível ter uma imagem da memória de um processo e saber onde se deve ou não ler memória.

Deve-se ter atenção em relação aos parâmetros de escolha da página de memória a ser lida, principalmente sobre páginas protegidas com PAGE_GUARD.

 

Projeto Iustrativo

 

 

[DOWN]

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

[/DOWN]

[sCAN]

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

[/sCAN]

 

---

Disclaimer

 

Esse tópico foi escrito com objetivo de usar VirtualQueryEx para Memory Scanners. Alguns itens importantes sobre a função e seus membros podem não ter sido abordados, ou foram abordados superficialmente.