隐藏可执行内存项目下载与安装教程

1. 项目介绍

本项目旨在研究并实现一种在Windows操作系统中隐藏可执行内存的方法。通过修改页表入口（PTE）和页目录入口（PDE），使得指定的内存区域在系统看来是不可执行的，但实际上可以执行代码。这一技术在编写某些需要隐藏执行的驱动程序时非常有用。

2. 项目下载位置

您可以在GitHub上找到该项目，地址如下：

https://github.com/smallzhong/hide_execute_memory.git

3. 项目安装环境配置

环境要求

• 操作系统：Windows（64位）
• 开发环境：Visual Studio 2019 或更高版本
• 编译工具：Windows Driver Kit (WDK)

配置步骤

首先，确保您的计算机上安装了Visual Studio 2019及WDK。以下是环境配置的步骤：

安装Visual Studio后，下载并安装WDK。

安装完成后，打开Visual Studio，配置项目的环境。

4. 项目安装方式

1. 克隆项目到本地：

   git clone https://github.com/smallzhong/hide_execute_memory.git
   

2. 打开Visual Studio，创建一个新的驱动项目。

3. 将项目中的源代码文件添加到您的驱动项目中。

4. 编译项目。

5. 项目处理脚本

项目中包含了用于验证内存是否可执行的驱动代码。以下是一个简单的脚本示例：

#include "memory.h"
#include "shellcode.h"

DWORD addr;
scanf("%x", &addr);
__asm {
    jmp addr
}

这段代码会读取用户输入的地址，并尝试跳转到该地址执行代码。如果地址指向的内存是不可执行的，程序将异常退出。

在驱动代码中，您需要编写相应的函数来修改页表和页目录，使得指定的内存区域可执行。以下是修改页表的函数示例：

BOOLEAN SetExecutePage(ULONG64 VirtualAddress, ULONG size) {
    ULONG64 startAddress = VirtualAddress & (~0xFFF);
    ULONG64 endAddress = (VirtualAddress + size) & (~0xFFF);

    for (ULONG64 curAddress = startAddress; curAddress <= endAddress; curAddress += PAGE_SIZE) {
        PHardwarePte pde = getPde(curAddress);
        if (MmIsAddressValid(pde) && pde->valid == 1) {
            pde->no_execute = 0;
            pde->write = 1;
        }

        PHardwarePte pte = getPte(curAddress);
        if (MmIsAddressValid(pte) && pte->valid == 1) {
            pte->no_execute = 0;
            pte->write = 1;
        }
    }
    return TRUE;
}

这段代码会遍历指定的内存区域，并修改对应的PDE和PTE，使得内存区域可执行。

以上就是隐藏可执行内存项目的下载与安装教程。希望对您有所帮助！