-
-
针对TP hook 0E 页表异常断点 处理方法 理论处理
-
发表于: 2017-5-10 02:05
-
|
|
|---|---|
|
|
|
|
|
不是这样的 keunstack 这个值是正确的 但是他不会处理CR3里面的 因为页表清0后他就不会管了。页表他保存了一份 直接给CR3给了真实的。这就相当于是2份页表 一份程序用的eprocess +0x28 这份清0 另一份自己保存.清0那份他不会恢复。所以不存在 读后还在在清eprocess里面的. |
|
|
难道这就是传说中的影子页表大法
|
|
|
|
|
|
|
|
|
windows对虚拟内存权限管理得死死的。物理内存却不管。
|
|
|
|
|
|
tp学习了
|
