PTE = (VA >> 12) << 3 + PTE_BASE

          PDE = (VA >> 21) << 3 + PTE_BASE

          PDPE = (VA >> 30) << 3 + PDE_BASE

          因为 PDE_BASE 是描述PTE_BASE的PTE

          显然 PDE_BASE = (PTE_BASE >> 12) << 3 + PTE_BASE = (0xC0000000 >> 12) << 3 + 0xC0000000 = 0xC0600000

2. x64 公式推导

WRK或者WDK开发包头文件中定义了64位下 PTE_BASE 的内容

#define PTE_BASE  0xFFFFF68000000000UI64
#define PPE_BASE  0xFFFFF6FB7DA00000UI64
#define PDE_BASE  0xFFFFF6FB40000000UI64
#define PXE_BASE  0xFFFFF6FB7DBED000UI64

PDE_BASE = ((PTE_BASE & 0x0000FFFFFFFFF000) >> 12) * 8 + PTE_BASE

                    = 0xF68000000 * 8 + PTE_BASE 

                    = 0x7B40000000 + PTE_BASE = 0xFFFFF6FB40000000
PPE_BASE = ((PDE_BASE & 0x0000FFFFFFFFF000) >> 12) * 8 + PTE_BASE 

                    = 0xF6FB40000 * 8 + PTE_BASE = 0x7B7DA00000 + PTE_BASE

                    = 0xFFFFF6FB7DA00000
PXE_BASE = ((PPE_BASE & 0x0000FFFFFFFFF000) >> 12) * 8 + PTE_BASE 

                    = 0xF6FB7DA00 * 8 + PTE_BASE 

                    = 0x7B7DBED000 + PTE_BASE = 0xFFFFF6FB7DBED000

#define PTE_BASE  0xFFFFF68000000000UI64
#define PPE_BASE  0xFFFFF6FB7DA00000UI64
#define PDE_BASE  0xFFFFF6FB40000000UI64
#define PXE_BASE  0xFFFFF6FB7DBED000UI64

在PAE开启状态下 （下文默认） 或者x64系统下，描述PTE结构的定义为：

typedef struct _MMPTE_HARDWARE {
    ULONGLONG Valid : 1;
    ULONGLONG Write : 1;        // UP version
    ULONGLONG Owner : 1;
    ULONGLONG WriteThrough : 1;
    ULONGLONG CacheDisable : 1;
    ULONGLONG Accessed : 1;
    ULONGLONG Dirty : 1;
    ULONGLONG LargePage : 1;
    ULONGLONG Global : 1;
    ULONGLONG CopyOnWrite : 1; // software field
    ULONGLONG Prototype : 1;   // software field
    ULONGLONG reserved0 : 1;  // software field
    ULONGLONG PageFrameNumber : 28;
    ULONG64 reserved1 : 24 - (_HARDWARE_PTE_WORKING_SET_BITS+1);
    ULONGLONG SoftwareWsIndex : _HARDWARE_PTE_WORKING_SET_BITS;
    ULONG64 NoExecute : 1;
} MMPTE_HARDWARE, *PMMPTE_HARDWARE;

typedef struct _MMPTE {
    union  {
        //ULONG_PTR Long;
        MMPTE_HARDWARE Hard;
        //MMPTE_HARDWARE_LARGEPAGE HardLarge;
        //HARDWARE_PTE Flush;
        //MMPTE_PROTOTYPE Proto;
        //MMPTE_SOFTWARE Soft;
        //MMPTE_TRANSITION Trans;
        //MMPTE_SUBSECTION Subsect;
        //MMPTE_LIST List;
        } u;
} MMPTE;

typedef MMPTE *PMMPTE;

typedef struct _MMPTE_HARDWARE {
    ULONGLONG Valid : 1;
    ULONGLONG Write : 1;        // UP version
    ULONGLONG Owner : 1;
    ULONGLONG WriteThrough : 1;
    ULONGLONG CacheDisable : 1;
    ULONGLONG Accessed : 1;
    ULONGLONG Dirty : 1;
    ULONGLONG LargePage : 1;
    ULONGLONG Global : 1;
    ULONGLONG CopyOnWrite : 1; // software field
    ULONGLONG Prototype : 1;   // software field
    ULONGLONG reserved0 : 1;  // software field
    ULONGLONG PageFrameNumber : 28;
    ULONG64 reserved1 : 24 - (_HARDWARE_PTE_WORKING_SET_BITS+1);
    ULONGLONG SoftwareWsIndex : _HARDWARE_PTE_WORKING_SET_BITS;
    ULONG64 NoExecute : 1;
} MMPTE_HARDWARE, *PMMPTE_HARDWARE;

typedef struct _MMPTE {
    union  {
        //ULONG_PTR Long;
        MMPTE_HARDWARE Hard;
        //MMPTE_HARDWARE_LARGEPAGE HardLarge;
        //HARDWARE_PTE Flush;
        //MMPTE_PROTOTYPE Proto;
        //MMPTE_SOFTWARE Soft;
        //MMPTE_TRANSITION Trans;
        //MMPTE_SUBSECTION Subsect;
        //MMPTE_LIST List;
        } u;
} MMPTE;

typedef MMPTE *PMMPTE;

typedef struct tag_CTRLV2
{
	PVOID lpAddress;
	PVOID lpPatchContext;
	ULONG ulSize;

} CtrlV2, *PCtrlV2;

BOOLEAN ModifyPhysicalAddressX86(PCtrlV2 pV2)
{
	if (g_bPAEON)
	{
		PMMPTE_PAE ProtectPTE = MiGetPteAddressForPAE(pV2->lpAddress);
		__try
		{
			if (ProtectPTE->Valid)
			{
				// Disable CopyOnWrite
				ProtectPTE->Write = 1;
				// Now Patch Physical Memory
				memcpy(pV2->lpAddress, pV2->lpPatchContext, pV2->ulSize);

				DbgPrint("[Wxoit] ModifyPhysicalAddressX86 pV2->lpAddress:%x, Context:%x\r\n", 
					pV2->lpAddress, *(ULONG*)pV2->lpAddress);
			}
		}
		__except(EXCEPTION_EXECUTE_HANDLER)
		{
			DbgPrint("[Wxoit] ModifyPhysicalAddressX86 Raise Exception %x", GetExceptionCode());
		}
	}

	return TRUE;
}

最后就当作福利吧，前段时间在看MDL的一些API，把我所学分享给大家。

IoAllocateMdl

MmProbeAndLockPages/MmBuildMdlForNonPagedPool

MmMapLockedPagesSpecifyCache

MDL不止只有下面描述的结构，在这个结构的后面还存在着这个MDL描述的所有的物理页的页面帧号

typedef struct _MDL {
    struct _MDL *Next;
    CSHORT Size;
    CSHORT MdlFlags;
    struct _EPROCESS *Process;
    PVOID MappedSystemVa;
    PVOID StartVa;
    ULONG ByteCount;
    ULONG ByteOffset;
} MDL, *PMDL;

1. IoAllocateMdl

PMDL

IoAllocateMdl(

    IN PVOID VirtualAddress,

    IN ULONG Length,

    IN BOOLEAN SecondaryBuffer,

    IN BOOLEAN ChargeQuota,

    IN OUT PIRP Irp OPTIONAL

    )

       这个API没啥好说的，就是小心点大小检测，当传入的Length越过了0x17个页面时，对MDL的大小有要求(不能超过0xFFFF)，第三参数只有在第五参数存在时才有意义：标志这个是不是一个链式内存（一般只有在IRP结构中需要处理），第四参数没看到在哪用。一般地，三四五参数都传NULL。

2.  MmProbeAndLockPages

         VOID

MmProbeAndLockPages (
     IN OUT PMDL MemoryDescriptorList,
     IN KPROCESSOR_MODE AccessMode,
     IN LOCK_OPERATION Operation
     )

好了，这个API开始就要注意了，这块特别容易抛异常

1. 进入这个函数之前，不要随便给MDL置标记（不管是你手动的还是API帮你置的位），特别是

MDL_PAGES_LOCKED 

MDL_MAPPED_TO_SYSTEM_VA

MDL_SOURCE_IS_NONPAGED_POOL

MDL_PARTIAL

MDL_IO_SPACE

2. 存在当前模式，如果传入UserMode，那么在第一步初始化MDL如果描述的虚拟地址是一个内核地址，那么这直接抛0xC0000005异常

3. 这个API紧接这会去锁住MDL描述的物理内存页面，当你传入MDL的虚拟地址是一个Ring3地址， 也会校验你传入的Operation， 其中

    一个页面不具有写属性你却传入了 IoWriteAccess/IoModifyAccess 那么不好意思，同样RaiseException

4. 检查当前进程（对是当前进程!，调用这个函数如果你要修改别人家的物理内存那么请先KeStackAttachProcess ） 的虚拟内存对应的物理

    页面映射关系，如果你尝试传入一个缺页的内存，这个函数会尝试处理这个缺页情况，再做类似第三步的动作

5. 即使找到了虚拟页面映射的物理页面，如果传入 IoWriteAccess/IoModifyAccess  也会校验对应的VAD是否具有MM_READWRITE属性

使用这个函数时，如果你要修改内存那么不必急着传入 IoWriteAccess/IoModifyAccess 这样会造成这个函数代码内部的检测逻辑，因为最

后在调用MmMapLockedPagesSpecifyCache 函数时，不管是Ring3还是Ring0应该都是具有读写属性的。在我的理解上来看.......

typedef struct _MDL {
    struct _MDL *Next;
    CSHORT Size;
    CSHORT MdlFlags;
    struct _EPROCESS *Process;
    PVOID MappedSystemVa;
    PVOID StartVa;
    ULONG ByteCount;
    ULONG ByteOffset;
} MDL, *PMDL;