-
-
[原创]win10 1909 逆向系列：（一. CR3无法被MmMapioSpace映射原理和绕过代码）
-
发表于: 2020-7-2 01:42
-
一、CR3无法被MmMapioSpace映射原理和绕过代码）
三、通过任意物理帧判断是否是CR3和解密得到所属EPROCESS
四、探寻文件体系
六、内存区对象（SectionObject）----1.页面支撑的内存区
九、
十、
先通过windbg 看几个图来认识一下CR3相同的地方：
1。先选择两个不同进程的CR3。
2。然后查看页帧数据库的CR3物理页的信息，得知不同进程的PteAddress是一样的【每个人数值可能不同，但这类数值比较特殊，后面会用来做比较】
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
最后于 2021-4-6 16:55
被kanxue编辑
，原因：
|
|
|---|---|
|
|
收藏研究的时候再看.
|
|
|
此处应该有掌声
 无私分享啊
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
应该是印度程序员人为设计的 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
佬门能解答一下:PteAddress：0xffff89c4e2713898 转成虚拟地址 ffff89c4e2713000,发现没，他在Pte范围之内，这就是他的判定的原理，在这个范围之内，则判定失败。这句话什么意思吗 不是很明白谁和谁比较
|
|
|
_MMPFN 的 size |
|
|
个人理解是一个物理页帧只有在被Unmap时需要知道它的表项的地址，然后寻址到位，给他删掉。PML4表基址本身就是虚拟映射寻址的过程，map或者unmap都没有意义，或者说就跟lz说的一样，本身这个CR3存的地址就是禁止去map的，用不到unmap,所以就这样搞了一个类似条件判断的标志数
最后于 2025-2-28 05:17
被FishAndCat编辑
，原因：
|
