-
-
[求助]为什么Windows的系统DLL对于每个程序都加载在同一个位置？
-
发表于: 2020-4-23 16:26
-
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
内存的属性一般有两种，private和mapped，Windows系统下，private属性的内存是由VirtualAlloc或者
VirtualAllocEx申请的，比如进程私有的，如堆，栈属于这类内存。而mapped属性的内存由CreateFileMapping申请，后者可能是在多个进程中共享同一个物理页，这样可以节省内存。在Windbg的输入命令!var addr addr是某个进程EPROCESS位于0x11c位置处名为vadroot的首地址，（这是一个搜索二叉根节点所在地）可以看出一个进程的内存映射情况，如下图，我截取了一点，可以看到dll的内存属性mapped。共享的内存可以仅仅是内存，也可以是一个文件。我记得以前绝地求生的文件可以用MBR（叫啥忘记了喜喜）技术过掉文件保护，原理就是在另一个进程里映射这份受保护的文件，在本进程对该文件的修改就同步到其他进程中
 另外，要注意写拷贝属性EXECUTE_WRITECOPY，由于写拷贝的存在，尽管映射为同一个物理页，但我们在一个进程如果给dll里某函数挂钩子，只能在本进程起作用，其他进程不起作用，就是由于写拷贝
最后于 2020-4-23 21:54
被r0Cat编辑
，原因：
|
|
|
那么我再一个进程中对这类文件的修改是不是要重启整个系统才能生效？ |
|
|
|
|
|
不需要重启，对物理页的操作是即时生效的。
最后于 2020-4-23 22:01
被r0Cat编辑
，原因：
|
|
|
|
