ReadProcessMemory - Zugriff bemerkbar?

[elliott]

Hallo!

Ich wollte gern mal von den Experten wissen ob denn ein Zugriff über ReadProcessMemory bemerkbar ist?

Um es zu verdeutlichen:
Programm A - eine beliebige Software in C, Delphi oder irgendeiner anderen Sprache programmiert
Programm B - ein Delphi-Programm, welches mit ReadProcessMemory den Speicher von anderen Programmen auslesen kann.
Beide Programme laufen unter Windows XP mit Admin-Rechten.

Wenn Programm B den Speicher von Programm A ausliest - kann Programm A dies bemerken?

Knappe Antworten reichen vollkommen aus. Wenn es möglich sein sollte, dann bitte kurz erklären wie!

Danke!

[sirius]

Ausser, wenn Programm B wiederum Programm A überwacht oder Programm B überwcht readprocessMemory, fällt mir spontan nix ein.

[Win32.API]

Stichwort: Treiber (RPM Hook)

[OldGrumpy]

Entweder innerhalb von ReadProcessMemory ein Hook oder "weiter unten" im Kernel beim Mappen der Speicherpages ansetzen ("höhere Mathematik"), oder strategisch Guardpages setzen. Guardpages triggern bei einem Zugriff darauf eine Exception. Kann man von aussen aber auch ziemlich beliebig ändern, dazu empfiehlt sich dann ein Hook auf VirtualProtectEx und Konsorten.

Im Grunde genommen läuft das alles auf ein und dasselbe hinaus:

Zitat von Bruce Schneier:

[...]trying to make digital files uncopyable is like trying to make water not wet.

[Win32.API]

Imho werden "Guardpages" bei einem aufruf von RPM nicht ausgeloest.

[OldGrumpy]

Nunja, zumindest funktioniert wenn ich die MSDN da richtig verstehe, zumindest das Auslesen nicht - also müsste man erst mit VirtualProtectEx das Guard-Bit entfernen was wiederum mit einem Hook zu bemerken wäre. Aber das Thema ist echt endlos und beliebig komplex weiterspinnbar...

[elliott]

Danke! Danke!
Also kurz gesagt: Es ist nicht einfach...
Ich glaube es werden nur sehr, sehr wenige Programme so einen Aufwand betreiben nur um zu sehen ob jemand im Speicher herumliest.
...

[Apollonius]

Ich habe in der Codelibrary einen Beitrag gepostet, wie man erschweren kann, dass der "Gegner" überhaupt Readprocessmemory benutzen kann. Bei Admin-Rechten hilft das allerdings nicht, falls der Admin Debug-Rechte hat (ich habe die z.B. nicht).