Hola estoy intentando borrar la cabecera en .NET el método que encontré por internet y que usan es:

using System;
using System.Collections.Generic;
using System.Linq;
using System.Runtime.InteropServices;
using System.Text;
using System.Threading.Tasks;
 
 
namespace ConsoleApplication9
{
    class Program
    {
        [DllImport("kernel32.dll")]
        public static extern IntPtr OpenProcess(int dwDesiredAccess, bool bInheritHandle, int dwProcessId);
        [DllImport("kernel32.dll", SetLastError = true)]
        static extern bool ReadProcessMemory(IntPtr hProcess, IntPtr lpBaseAddress, [Out] byte[] lpBuffer, int dwSize, out IntPtr lpNumberOfBytesRead);
        [DllImport("kernel32.dll", SetLastError = true)]
        //static extern bool WriteProcessMemory(IntPtr hProcess, IntPtr lpBaseAddress, byte[] lpBuffer, uint nSize, out UIntPtr lpNumberOfBytesWritten);
        static extern bool WriteProcessMemory(IntPtr hProcess, IntPtr lpBaseAddress, byte[] lpBuffer, int dwSize, ref int lpNumberOfBytesWritten);
        [DllImport("kernel32.dll")]
        public static extern IntPtr GetModuleHandle(string lpModuleName);
        private static int ErasePEHeader() // hModule = Handle to the module, procName = Process name (eg. "notepad")
		{
		    byte[] imagentheaderptr = new byte[4];
		    byte[] Stub = new byte[120];
		    byte[] Stub2 = new byte[0x108];
		    int Out=0, Out2=0;
 
            IntPtr hModule = GetModuleHandle(null);
 
            string procName = System.Reflection.Assembly.GetExecutingAssembly().GetName().Name;
            procName = procName;
            Console.WriteLine(hModule + "," + procName);
 
            IntPtr proc = OpenProcess(0x001F0FFF, false, System.Diagnostics.Process.GetProcessesByName(procName)[0].Id);
		    IntPtr IMAGE_NT_HEADER = new IntPtr((hModule.ToInt32() + 60)), out2 = IntPtr.Zero;
		    ReadProcessMemory(proc, IMAGE_NT_HEADER, imagentheaderptr, 4, out out2);
		    if ((WriteProcessMemory(proc, hModule, Stub, 120, ref Out) == true) && (WriteProcessMemory(proc, hModule, Stub2, 0x100, ref Out2) == true)) return Out + Out2;
		    else return 0;
		}
        static void Main(string[] args)
        {
            int a = ErasePEHeader();
            Console.WriteLine(a);
            Console.ReadKey();
        }
    }
}

Pero siempre me devuelve 0 o falso. ¿Alguien que me pueda explicar porque nunca la borra?

Ya lo he hecho yo por él. La función WriteProcessMemory le devuelve el código de error Win32 "998" (dec) que hace referencia al nombre de error "ERROR_NOACCESS" ("Invalid access to memory location"), traducido a código de error HRESULT: "800703E6" (hex), lo que equivale a la excepción administrada System.BadImageFormatException con mensaje de error: "Se realizó un acceso no válido a la ubicación de memoria."

Algo falla al intentar escribir la memoria, eso está claro.

No he depurado las demás llamadas a las otras funciones declaradas de la WinAPI (no es mi trabajo hacerlo).

---

El código que estás usando es un copy&paste de aquí:

• http://www.mpgh.net/forum/showthread.php?t=743307

Así que si por casualidad lo que estás intentando hacer es eliminar la cabecera PE con la intención de hacer un anti-dumper, entonces quizas esta otra metodología te pueda resultar de utilidad:

• https://www.unknowncheats.me/forum/vb-net/115224-simple-anti-dump-method-net.html

( no he probado el código, la ing. inversa o temas relacionados no son mi fuerte. )

En ese código parece aplicarse lo que te mencionó el compañero MckSYS:

PD: Puedes traducirlo a C# con cualquier conversor de código online.

Saludos!

El mensaje de error te está diciendo que no encuentra ningún export con el nombre "RtlSecureZeroMemory", y eso proobablemente sea por que, como se indica en la MSDN, el alias "SecureZeroMemory" que apunta a la función "RtlSecureZeroMemory" no está expuesta en ninguna dll.

En su lugar puedes probar a utilizar la función RtlZeroMemory:

[DllImport("Kernel32.dll", EntryPoint = "RtlZeroMemory", SetLastError = false)]
private void ZeroMemory(IntPtr destination, IntPtr length)
{}

El efecto es exactamente el mismo, según la documentación oficial, la única diferencia es que RtlSecureZeroMemory garantiza el borrado/zerofill.

Saludos.