首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
[讨论][求助]用切换CR3来读写进程内存，那么如何获取真实CR3
发表于: 2018-11-16 11:32 12010

[讨论][求助]用切换CR3来读写进程内存，那么如何获取真实CR3

Jy王 活跃值
2018-11-16 11:32
12010

查看主题内容

收藏
免费 ・2
支持
分享
最新回复 (29)
BDBig
雪    币： 634
活跃值： (1149)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
26 楼
已删除
最后于 2018-11-29 10:16 被BDBig编辑 ，原因：
2018-11-29 10:15
0
Jy王
雪    币： 34
活跃值： (94)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
27 楼
BDBig +1。这个方案，不错。实际获取真实的CR3就是搜tp的特征。。。至少我是这么干的。。。。
感谢，我研究研究呢！谢谢
2018-11-29 15:40
0
懒的时间
雪    币： 136
活跃值： (337)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
28 楼
学习
最后于 2018-11-30 23:10 被懒的时间编辑 ，原因：
2018-11-30 23:02
0
killpy
雪    币： 83
活跃值： (1082)
能力值： ( LV8，RANK：130 )
在线值：
发帖
回帖
粉丝
私信
29 楼
BDBig 已删除
ULONG64 vTpDataObjectBase = *(PULONG)(vTpMemory + 0x1738B) + vTpMemory + 0x1738F; 这个是怎么找到的 mov cr3,xxxx这种特征太多了 你怎么知道到底是哪一个??? pte如果被抹去 你获取真实页表也没用啊 一样发生页面访问异常 tp在idt 会判断你当前进程是否合法  这种情况 你怎么办?有啥好思路
2018-12-5 16:30
0
还洋洋
雪    币： 38
活跃值： (168)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
30 楼
需要遍历CPU 的IDT 那些以上 代码只是 遍历当前 的IDT 没啥子用
2020-6-14 10:28
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//