首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 付费问答
    3. 发新帖
[旧帖] [求助]进程页表的获取 0.00雪花
发表于: 2011-8-17 09:57 1783

[旧帖] [求助]进程页表的获取 0.00雪花

shaotine 活跃值
2011-8-17 09:57
1783
每个进程都维护了一个唯一的页目录，都拥有自己的CR3寄存器值。那如何在内核中获取的CR3的值，进而获取到该进程的每一个页表。

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

收藏
免费 ・0
支持
分享
最新回复 (5)
ronging
雪    币： 113
活跃值： (100)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
2 楼
cr3是个寄存器啊，直接读值就行了。
2011-8-17 11:05
0
shaotine
雪    币： 1
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
应该是在内核里直接读取???还是应用层
2011-8-17 13:16
0
ronging
雪    币： 113
活跃值： (100)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
4 楼
内核里肯定没问题的。应用层估计不行，我在windbg里用户态调试无法读取。
2011-8-17 13:39
0
shaotine
雪    币： 1
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
哦，那就得整个驱动程序了。有相关CR3获取的驱动程序实例吗？？
2011-8-17 14:18
0
xiaogangha
雪    币： 75
活跃值： (53)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
内核中枚举查找进程,ZwQuerySystemInformation或遍历进程EPROCESS结构链等方法,获取进程的eprocess ，然后KeAttachProcess到目标进程空间，直接读取CR3寄存器的值即可
2011-8-17 19:33
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//