-
-
[讨论]内核映射win32k.sys的疑惑
-
发表于: 2010-6-18 00:09
-
为了方便重定位，我用内存映射的方法在内核映射一份win32进来，可是让我十分不解的是，Xp系统下好像只是简单的把内存中已经存在的那一份映射近我的进程，根本就没有使用硬盘上的那个版本，不知道大家遇到过没有，实现映射的代码可以保证是正确的，并且发现，使用同样代码映射一份系统内核却又没有使用内存里已经存在的那个版本，而是使用硬盘上的文件。不知道到底是什么原因导致win32.sys映射不到硬盘上的版本，难道是因为win32k.sys映射在了PE头的ImageBase地址,所以有其它进程在次映射时，系统会去那个ImgeBase检查是否存在，存在的话就不读文件来映射，（因为系统内核没映射到ImageBase所以在次映射时就去读文件去了），不知道是否有大牛来给一个比较完整的解释
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
