-
-
win10 1909逆向（通过任意物理帧判断是否是CR3和解密得到所属EPROCESS）
-
发表于: 2020-9-2 04:14
-
一、任意取一个进程的CR3
二、选个GDTR的物理帧
ListEntry这个链表的第一项就不同了，具体修改点在函数：MiSetPageTablePfnBuddy（）
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
一、任意取一个进程的CR3
二、选个GDTR的物理帧
ListEntry这个链表的第一项就不同了，具体修改点在函数：MiSetPageTablePfnBuddy（）
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|