c++ - Windows/C++：为什么加载的模块内存字节在运行时会发生变化？

Question

我正在尝试检测加载的模块是否在运行时被恶意进程修补。在这种情况下，模块是正在运行的 EXE。

我的检测方案如下：

MODULEINFO mInfo;
GetModuleInformation(myProc, myInstance, &modInfo, sizeof(MODULEINFO));

//

char* hash1 = hashBytes(mInfo.lpBaseOfDll, mInfo.SizeOfImage);

//.....some time later

char* hash2 = hashBytes(mInfo.lpBaseOfDll, mInfo.SizeOfImage);

//

bool moduleIsModified = compareHashes(hash1, hash2); //false == we're patched!

这起初工作得很好......如果没有出现补丁，哈希将是相同的，并且我可以成功检测到我自己的补丁（模块地址空间中的字节随 VirtualProect/CopyMemory 更改）。

但是，我发现如果我在生成 hash1/hash2 之间放置以下代码，则哈希将不再匹配：

//char* hash1 = ....

std::ifstream stream(pathToModule); //this causes hashes to no longer match???

//char* hash1 = ....

为什么创建到模块的文件流会改变模块的预加载字节？我假设模块在加载后会静态地存在于内存中（假设没有恶意补丁）显然是不正确的……但为什么呢？模块加载字节的特定区域是否是动态的？

标签： c++windowsmemorymodulepatch

Answer 1

Paul Sanders 的问题为我指明了正确的方向。

模块的 .data 段在运行时发生变化，因此从我的哈希中排除该段可以保持结果相同。