阅读量:0
Windows页防护机制用于防止代码注入和函数挂钩。通过设置页面为不可执行，可防止恶意代码执行。但可通过特殊手段绕过。
（图片来源网络，侵删）利用Windows页防护机制进行函数挂钩
什么是函数挂钩（Function Hooking）？
函数挂钩是一种在运行时修改程序行为的技术，通常用于拦截并修改某个特定函数的行为，在Windows操作系统中，函数挂钩通常用于调试、逆向工程、安全防护等领域。
Windows页防护机制
Windows页防护机制是一种保护内存页面不被恶意访问的机制，当一个进程试图访问一个受保护的内存页面时，操作系统会触发一个异常，从而防止对受保护内存的非法访问。
如何利用页防护机制进行函数挂钩？
1. 定位目标函数
我们需要找到要挂钩的函数在内存中的地址，这可以通过导入表、导出表或者模块基址等方法实现。
2. 设置页防护
接下来，我们需要为目标函数所在的内存页面设置页防护，这可以通过VirtualProtect函数实现，我们可以将目标函数所在页面的保护属性设置为PAGE_GUARD，这样当有代码试图访问这个页面时，操作系统会触发一个STATUS_GUARD_PAGE_VIOLATION异常。
DWORD old_protect; VirtualProtect(target_address, page_size, PAGE_GUARD, &old_protect);
3. 设置异常处理
（图片来源网络，侵删）我们需要设置一个异常处理例程，用于捕获STATUS_GUARD_PAGE_VIOLATION异常，在这个异常处理例程中，我们可以修改目标函数的代码，从而实现函数挂钩。
SetUnhandledExceptionFilter(MyExceptionHandler);
4. 恢复页防护
我们需要在异常处理例程中恢复目标函数所在页面的保护属性，这可以通过VirtualProtect函数实现。
DWORD old_protect; VirtualProtect(target_address, page_size, old_protect, &old_protect);
相关问题与解答
Q1：为什么要使用页防护机制进行函数挂钩？
A1：页防护机制可以保护目标函数不被恶意访问，从而提高函数挂钩的安全性，通过异常处理例程，我们可以在捕获异常时对目标函数进行修改，实现更复杂的挂钩逻辑。
Q2：使用页防护机制进行函数挂钩有什么局限性？
A2：页防护机制只能保护整个内存页面，而不能保护单个函数，如果目标函数跨越了多个内存页面，或者与其他函数共享同一个内存页面，那么使用页防护机制进行函数挂钩可能会影响其他函数的正常执行，页防护机制可能会增加系统的开销，降低程序的性能。
（图片来源网络，侵删） 