用VirtualQuery快速定位可疑RWX内存页：遍历MEM_COMMIT区域，检查Protect是否含PAGE_EXECUTE_READWRITE，跳过栈、调试桩等合法区域；需结合原始PE镜像比对和上下文验证。
如何用 VirtualQuery 快速定位可疑的可写可执行内存页
Windows 下绝大多数注入（如 DLL 注入、代码洞注入）最终都要分配或改写一段具备 PAGE_EXECUTE_READWRITE 属性的内存来写入恶意指令。正常 C++ 程序在初始化后，几乎不会存在同时满足「可写 + 可执行」的内存页——这是最廉价也最有效的初筛信号。
实操建议：
- 遍历进程地址空间时，对每个
MEM_COMMIT区域调用VirtualQuery，检查MEMORY_BASIC_INFORMATION::Protect是否含PAGE_EXECUTE_READWRITE - 跳过已知合法区域：如主线程栈（可通过
GetThreadContext获取栈基址比对）、调试器注入的调试桩（如ntdll!LdrLoadDll附近的小段 RWX）、某些反作弊 SDK 自身使用的热补丁区（需白名单） - 注意：Windows 10 1809+ 启用 CFG 后，
PAGE_EXECUTE_WRITECOPY也可能被滥用，建议一并告警
为什么不能只靠 memcmp 校验函数开头几字节
直接比对 kernel32.dll!CreateRemoteThread 或 user32.dll!SetWindowsHookEx 入口前 5–10 字节，看似简单，实则极易误报或漏报。现代 Hook 框架（如 Microsoft Detours、MinHook）普遍采用「跳转指令中转」或「IAT/EAT 劫持」，原函数体本身可能完全未被修改。
常见错误现象：
立即学习“C++免费学习笔记（深入）”；
- ASLR 导致每次加载基址不同，硬编码地址比对失效
- 编译器优化（如 /hotpatch）在函数头插入
mov edi,edi或nop，导致字节序列浮动 - 部分安全软件主动 patch 系统 API 做 HIPS 监控，你校验的“原始”字节根本不是微软原始镜像
更可靠的做法是：从 PE 加载的原始模块镜像（GetModuleHandle + IMAGE_DOS_HEADER 定位）中提取校验用特征码，而非运行时内存。
用 ImageNtHeader 提取模块原始入口特征码的实操要点
要真正检测是否被 inline hook，必须回到模块加载前的“干净状态”——也就是磁盘上 PE 文件的 .text 节原始内容。这需要解析 PE 头，定位目标函数 RVA，再从文件映射中读取对应字节。
关键步骤：
- 用
GetModuleFileName获取模块路径，CreateFileMapping+MapViewOfFile映射为只读视图（避免被运行时修改干扰） - 通过
ImageNtHeader和ImageOptionalHeader找到 .text 节起始 RVA 与文件偏移的换算关系 - 用
GetProcAddress获取函数在内存中的地址，减去模块基址得 RVA；再用 RVA 转为文件偏移，从映射视图中读取原始字节（例如前 16 字节） - 对比运行时内存中该地址的对应字节：若不一致，且非 ASLR/重定位引起（可用
IsBadReadPtr+VirtualProtect检查页面属性佐证），大概率已被 inline hook
VirtualProtect 改保护属性失败？先确认是否触发了 SMEP/SMAP 或 CFG
有些注入会将 shellcode 写入已有 RW 内存页，再用 VirtualProtect 改成可执行。但如果你在检测时也想临时改成 RWX 来读取，可能失败——尤其在开启硬件级防护的系统上。
典型错误信息：ERROR_ACCESS_DENIED 或 STATUS_ACCESS_VIOLATION，并非权限不足，而是 CPU 拒绝执行该操作。
规避建议：
- 优先使用
ReadProcessMemory（本进程读自己）而非改页属性，它绕过 SMEP/SMAP 检查 - 若必须用
VirtualProtect，确保目标页已提交（MEM_COMMIT），且当前线程没被SetThreadInformation禁用写入执行切换 - 在 Windows 10 RS5+，
SetProcessMitigationPolicy开启ProcessSignaturePolicy后，连合法的VirtualProtect改 EXEC 都会被拦截，此时只能依赖静态镜像比对
真正的难点不在识别某次 hook，而在于区分「安全软件的正当 patch」、「编译器生成的合法跳转桩」和「恶意注入的非法控制流篡改」——没有银弹，必须结合内存属性、模块来源、调用上下文三者交叉验证。
