直接读物理内存是可以的, 能不能写没有研究过

Ntdll.dll中有几个Native API可以达到读物理内存的目的, 如果我没记错的话, 应该就是这三个

NtOpenSection

NtMapViewOfSection

NtUnmapViewOfSection

看过一个程序好象是用这三个函数实现的, 可惜我没有查到这三个函数的详细信息

Undocumented functions of NTDLL

865K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4g2F1k6r3!0U0N6h3#2W2L8Y4c8W2k6q4)9J5k6h3&6@1K9h3&6@1k6i4u0F1j5h3I4K6i4K6u0W2L8X3g2@1i4K6u0r3g2i4y4W2M7V1#2G2k6r3g2Q4x3V1k6g2L8X3c8G2j5%4g2E0k6h3&6@1k6h3c8Q4x3U0f1J5x3p5k6#2L8X3y4@1K9h3!0F1M7#2)9J5c8V1&6f1i4K6t1#2x3U0m8a6j5X3A6W2j5%4c8K6i4K6u0r3f1$3g2U0N6r3W2G2L8W2)9J5c8V1&6@1e0%4m8W2L8W2y4W2j5%4c8A6L8$3&6Q4x3X3g2Z5N6r3#2D9

NtOpenSection(
  OUT PHANDLE             SectionHandle,
  IN ACCESS_MASK          DesiredAccess,
  IN POBJECT_ATTRIBUTES   ObjectAttributes );

05aK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4g2F1k6r3!0U0N6h3#2W2L8Y4c8W2k6q4)9J5k6h3&6@1K9h3&6@1k6i4u0F1j5h3I4K6i4K6u0W2L8X3g2@1i4K6u0r3g2i4y4W2M7V1#2G2k6r3g2Q4x3V1k6g2L8X3c8G2j5%4g2E0k6h3&6@1k6h3c8Q4x3U0f1J5x3p5k6#2L8X3y4@1K9h3!0F1M7#2)9J5c8V1&6f1i4K6t1#2x3U0m8a6j5X3A6W2j5%4c8K6i4K6u0r3f1$3g2U0N6r3W2G2L8W2)9J5c8V1&6@1e0h3q4H3g2X3W2W2N6@1!0X3f1$3g2U0N6r3W2G2L8W2)9J5k6h3S2@1L8h3H3`.

NtMapViewOfSection(
  IN HANDLE               SectionHandle,
  IN HANDLE               ProcessHandle,
  IN OUT PVOID            *BaseAddress OPTIONAL,
  IN ULONG                ZeroBits OPTIONAL,
  IN ULONG                CommitSize,
  IN OUT PLARGE_INTEGER   SectionOffset OPTIONAL,
  IN OUT PULONG           ViewSize,
  IN SECTION_INHERIT      InheritDisposition,
  IN ULONG                AllocationType OPTIONAL,
  IN ULONG                Protect );

06cK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4g2F1k6r3!0U0N6h3#2W2L8Y4c8W2k6q4)9J5k6h3&6@1K9h3&6@1k6i4u0F1j5h3I4K6i4K6u0W2L8X3g2@1i4K6u0r3g2i4y4W2M7V1#2G2k6r3g2Q4x3V1k6g2L8X3c8G2j5%4g2E0k6h3&6@1k6h3c8Q4x3U0f1J5x3p5k6#2L8X3y4@1K9h3!0F1M7#2)9J5c8V1&6f1i4K6t1#2x3U0m8a6j5X3A6W2j5%4c8K6i4K6u0r3f1$3g2U0N6r3W2G2L8W2)9J5c8V1&6@1g2h3&6E0j5i4m8h3K9h3g2%4e0$3k6e0k6h3y4@1K9h3!0F1i4K6u0W2K9s2c8E0L8l9`.`.

NtUnmapViewOfSection(
  IN HANDLE               ProcessHandle,
  IN PVOID                BaseAddress );

通过中断门试试~

4-F的KmdKit中有一个PhyMemBrowser传上来给大家研究研究

没有用驱动

上传的附件：

• physmembrowser.rar （23.22kb，107次下载）

最初由 thebutterfly 发布
4-F的KmdKit中有一个PhyMemBrowser传上来给大家研究研究
没有用驱动

有源代码?太感谢了!

如何读写物理内存?
如何读写物理内存?
看看

以前写过一篇，应该在看雪的论坛精华5里面能找到

顶一下,再顶一下行不？

能写吗？能写吗？能写吗？