-
-
[讨论]请教下win10 20分钟左右自动嗝屁ept
-
发表于: 2018-12-19 19:32
-
请教下win10 20分钟左右自动嗝屁ept,log无不良记录，不卡死，不蓝屏，蒸发一样的退出页目录翻译，奶疼至极
最后于 2018-12-19 19:36
被杨开银编辑
，原因：
|
|
|---|---|
|
|
|
|
|
|
|
|
EPT && 随机10~90分钟，有可能是初始化VMCS期间您动了XX寄存器的OO bit，然后触发PG，最后您翻译页目录是ok了，蛋：还是发生了，我猜是这样 PS：1809迎来了传说已久的内核隔离，别的隔离暂时还没怼上，就SYSCALL来说，无法占坑的锅晕，还好inline 和IDT还僵硬 PS2:ida 1809发现，SSDT竟然有callback
最后于 2018-12-19 19:55
被杨开银编辑
，原因：
|
|
|
应该不是XX寄存器的问题，109 1d的说明是Executive callback object modification，我查了一下Executive callback object是指ExRegisterCallback的那些东西 顺便一提，我用的魔改版ddimon，vmcs初始化的地方没碰过 |
|
|
一直很好奇hvpp中提到的vmx 进/退 这个时间戳内调用nt api有副作用的说法，我看了一通有3个dpc相关的api和申请非分页内存api，共4个，用了别的框架很久一直没看到他说的副作用，您可以重现一波嘛？老师
最后于 2018-12-19 22:08
被杨开银编辑
，原因：
|
|
|
|
|
|
有没有发现1809忽然爆卡，呵呵 |
|
|
1803还好，没升1809 |
|
|
1809之前的都没隔离，印象中老v说了个内核隔离是故事片，但1809把童话变成了现实，ms搞这一出，实在不知怎么占坑vmm。 ps:有趣的是仅仅发现的syscall64页表交换就卡得一B,如果ms对单个内核api所在的物理地址页面也交换一波，那真是swap成好朋友了，估计会卡死，另外一些硬件信息区域我想不可能隔离，太卡了就废了。
最后于 2018-12-19 23:33
被杨开银编辑
，原因：
|
|
|
|
|
|
dump，pdb，方便的话源码一波，靠猜也解决不了问题 |
|
|
本来host就不应该调用guestapi的 且不说调用内存分配函数可能会发ipicall 突然被时钟中断打断了咋办 |
|
|
那倒也是，看来hvpp是比较细心的框架 |
|
|
不好意思兄弟，我是新手，并没有接触过内核的调试，方便的话能不能说的详细一些（dump和pdb是什么意思？系统的dump文件么？？） |
|
|
我也是新手，就是那东西，不过很多时候莫名其妙截获不到异常代码，我一般都是逐个模块测试 |
|
|
HyperGuard?
 上次听说的时候，还是听说要开发，这就出来了？
|
|
|
|
|
|
|
|
|
哦 |
|
|
intel公司都公布了intel内核防护源代码了，不过，太冗余，只可远观不可亵玩耶 |
|
|
都说了host就不应该调用guestapi，你看人家hvpp两套内存分配器 |
hzqst
qdjytony
