Выделение памяти с типом Image

Всем привет, через что можно выделить память с типом image ? А именно чтобы функция virtualquery возвращала тип как image
Ps с рождеством всех

 

Чисто ради интереса - зачем?
....
Посмотрел - такой тип только у ДЛЛ и ЕХЕ регионов, можно от сюда поплясать...

 

да в одной игре анти чит детектит память чтобы это обойти надо выделить как image

 

Типа если это будет MEM_IMAGE ему будет все равно? Звучит, как чепуха, по моему...

Кста, мб НТ-шные функции могут себе такое позволить, хз....

 

если выделять через создания секции память(ZwMapViewOfSection) но она флаг MEM_IMAGE не принимет

--- Сообщение объединено, 7 янв 2020 ---

MEM_IMAGE он пропускает не сканит адреса с таким типом

 

Гениальный античит!
Но вопрос повторю - зачем выделять ее самому?

 

предлагаешь не выделять а искать свободную?

--- Сообщение объединено, 7 янв 2020 ---

ну память вроде как MEM_IMAGE выделяется через loadLib а он там работает только на подписанные файлы по этому ему наверно не зачем сканить такую память

 

И действительно: зачем античиту сканить какую-нибудь неподписанную длл. Всем же известно, что читы всегда подписаны.

 

Загрузить в процесс рандомную подписанную длл из систем32, а затем затереть его своей или шеллом или чего там за чит у тебя.

 

Емнип только через MapViewOfFile/NtMapViewOfSection.

 

там из драйвера какаета проверка если загрузкать не подписанные дллки то процес закрывается

как вариант

NtMapViewOfSection пробовал выделять выделяется как map

 

MEM_IMAGE это файловая проекция PE-формата, а не буфер; никак такую память не выделить, только если отобразить пе и записать в него данные, как выше сказали.

 

Ну да, там SEC_IMAGE и вроде даже проверка на соответствие формату PE есть.

 

А имитация хидера не покатит в данной ситуёвине?

 

Там вроде будет полноценный мапинг PE, с релоками и прочим, даже с ASLR (опять же если я правильно помню), только без вызова DllMain. Так что "имитация" особо ничем от полноценного заголовка отличаться не может.

 

А как по вашему проверить файл на валид формата пе ?
- создать секцию, тот обьект, который и отображается через NtMapVi

 

я попробовал просто заполнить память нулями ну я загрузки дллку из кернела и RtlSecureZeroMemory(pEntry->DllBase, pEntry->SizeOfImage); вызываю чистку но ловлю бдос может как то по другому надо? но в самой дллке есть свободное место под мою длл но эти свободные места разбросаны не по порядку может как то их сдвинуть можно?

 

То есть ты залил какую-то рандомную ядерную память нулями и ожидал не словить бсод? Или чего ты делаешь? Без кода не понятно как бы, в ядре ты мог сделать неправильно абсолютно любую херню.

 

я не ядерную память обнуляю pEntry->DllBase тут у меня хранится адрес модуля в процессе при этом я присоединен к процессу и отсоединяюсь после всех манипуляций

 

То есть вы делаете некие манипуляции с юзермодной памятью процесса и получаете реально Blue Screen Of Death, с дампом и перезагрузкой? Что за ось, что за античит?