首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 编程技术
    3. 发新帖
[求助]如何只通过物理内存寻找到进程的EPROCESS?
发表于: 2018-8-9 20:52 5343

[求助]如何只通过物理内存寻找到进程的EPROCESS?

huojier 活跃值
2018-8-9 20:52
5343
最近在搞一个驱动的逆向,很不幸那个驱动没有带读cr3的指令,只能拿来读写物理内存..但是这跟我设想的差的太远..
所以有没有什么办法只通过物理内存寻找到进程的EPROCESS呢?

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・0
支持
分享
最新回复 (7)
萌克力
雪    币： 433
活跃值： (2130)
能力值： ( LV4，RANK：40 )
在线值：
发帖
回帖
粉丝
私信
2 楼
遍历进程->取cr3->读到物理地址->判断
2018-8-9 22:02
0
huojier
雪    币： 137
活跃值： (1525)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
萌克力 遍历进程->取cr3->读到物理地址->判断
很不幸那个驱动没有带读cr3的指令,我只能读写物理内存.不知道有什么好的方法
2018-8-10 01:22
0
はつゆき
雪    币： 1641
活跃值： (3601)
能力值： (RANK：15 )
在线值：
发帖
回帖
粉丝
私信
4 楼
搞不懂你在说什么，你应该先去了解下什么是物理内存，哪怕你有cr3你也没法得到eprocess，两者根本没有太大的联系，其次，你逆向一个驱动，他有没有取cr3和你有关系吗？你可以取到不就行了吗？进程的eprocess可以直接用函数来得到，何必要走歪门邪道呢。
2018-8-10 07:44
0
hzqst
雪    币： 12876
活跃值： (9342)
能力值： ( LV9，RANK：280 )
在线值：
发帖
回帖
粉丝
私信
5 楼
你逆向一个驱动，他有没有取cr3和你有关系吗？+1
2018-8-10 10:13
0
柒雪天尚
雪    币： 183
活跃值： (751)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
你逆向一个驱动，他有没有取cr3和你有关系吗？+1 
2018-8-10 11:51
0
wowocock
雪    币： 405
活跃值： (2855)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
7 楼
估计是想利用驱动做些坏事。没读CR3提供接口，不好处理。
2018-8-10 15:14
0
放学打我不
雪    币： 4006
活跃值： (756)
能力值： ( LV5，RANK：60 )
在线值：
发帖
回帖
粉丝
私信
8 楼
NtQuerySystemInformation -> SystemHandleInformation->Handles[x].Object
2018-8-10 22:12
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回