Windows保護模式學習筆記（六）—— 10-10-12分頁

• • 基本概念
  • • 4GB內存空間
    • 有效地址-線性地址-物理地址
    • • 有效地址與線性地址
      • 物理地址
    • 控制寄存器：Cr3
  • 10-10-12分頁
  • • 實驗：通過線性地址找到物理地址
    • • 第一步：將XP虛擬機設置為10-10-12分頁模式
      • 第二步：新建一個記事本，寫入"Hello World"
      • 第三步：使用Cheat Engine附加進程
      • 第四步：找到"Hello World"的線性地址
      • 第五步：將線性地址拆分為10-10-12三組比特組
      • 第六步：獲得進程的Cr3
      • 第七步：通過Cr3找到字符串的物理地址
      • • 第一層
        • 第二層
        • 第三層

基本概念

4GB內存空間

大家可能都聽說過，每個程序在運行時，操作系統都會為其分配一段4GB的內存空間。

但是我們的內存容量很可能最多只夠為一個進程分配4GB的內存空間，如何做到為每個進程都分配呢？

實際上，進程被分配到的“4GB內存空間”只是虛擬的的內存空間，并不是指真正意義上的物理內存，虛擬內存與物理內存之間有一層轉換關系。

有效地址-線性地址-物理地址

有效地址與線性地址

先看如下指令：
MOV eax,dword ptr ds:[0x12345678]

其中，0x12345678 是有效地址
ds.Base + 0x12345678 是線性地址

注意：當段寄存器的Base為0時，有效地址=線性地址，大多數時候都是如此；但也有特殊情況，比如fs段寄存器的Base不為0

物理地址

描述：

我們平時所用到的系統DLL（動態鏈接庫）存在于物理地址中，當程序想要調用某個DLL時，DLL便會映射一份線性地址給程序，這樣程序就能夠通過線性地址找到DLL的物理地址

控制寄存器：Cr3

描述：

每個進程都有一個Cr3（準確的說是都有一個Cr3的值，Cr3本身是個寄存器，一個核，只有一套寄存器）
Cr3指向一個物理頁，一共4096字節
有關Cr3結構部分將在下一篇詳細說明，這里只引入基本概念（實驗需要）

10-10-12分頁

實驗：通過線性地址找到物理地址

第一步：將XP虛擬機設置為10-10-12分頁模式

右鍵→我的電腦→屬性→高級


將noexecute改為execute，保存，重啟即可

第二步：新建一個記事本，寫入"Hello World"

第三步：使用Cheat Engine附加進程

第四步：找到"Hello World"的線性地址

搜索字符串的時候別忘了勾上Unicode

可以看到左邊出現了兩個結果，我們可以在記事本中將最后的字符’d’改成’m’來確認哪個才是真正的線性地址

線性地址最終確定為：06765140

第五步：將線性地址拆分為10-10-12三組比特組

0 6 7 6 5 140 = 0000 0110 0111 0110 0101 140 = 0000011001 // 0x19 1101100101 // 0x365 140 // 12個比特位剛好三個字節

第六步：獲得進程的Cr3

在WinDbg中輸入命令：!process 0 0

DirBase的值就是Cr3

第七步：通過Cr3找到字符串的物理地址

注意：

找第一層和第二層的時候要將索引* 4（每個地址占4個字節）

每找到一層都要將地址后三位屬性位清零再繼續找下一層

第一層

第二層

第三層

使用db命令以字符形式查看

實驗成功！

總結

以上是生活随笔為你收集整理的Windows保护模式学习笔记（六）—— 10-10-12分页的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。