如何訪問受保護進程的 .exe 地址？

Question

我正在為視頻游戲編寫反作弊軟件。 使用 CreateToolhelp32Snapshot 我可以獲得打開的進程列表。 從那里我想找到每個進程的地址並通讀它的 .exe 文件。 雖然這適用於大多數進程，但受保護的進程拒絕訪問 OpenProcess 或 GetModuleFileNameEx 等方法。 假設我的應用程序以管理員身份運行，是否有辦法找到受保護的進程地址？

Answer 1

作弊引擎不是受保護的進程，99.9% 的作弊也不是。 您可以在 Process Hacker 中檢查 exe 的證書，您將看到它只有代碼簽名，沒有受保護的進程名稱。

如果您無法訪問作弊者的內存，那是因為他們使用內核驅動程序保護它。 如果你想接觸進程，你也必須在內核中運行。 如果他們以某種方式創建了一個 PP，那么您需要在內核中。

他們也可以使用許多用戶模式方法來保護自己，他們可以簡單地在每個正在運行的進程（包括您的進程）中掛鈎 OpenProcess() 並在您嘗試打開他們的進程時返回 0。

您需要獲取作弊的副本並對其進行逆向工程以弄清楚它是如何保護自己的，然后您就可以開始刪除或繞過這些保護措施。