-
-
win10 1909逆向（通过任意物理帧判断是否是CR3和解密得到所属EPROCESS）
-
发表于: 2020-9-2 04:14
-
前言
目前根据逆向得知，有两种方式判断任意物理帧是否是CR3，其中有一种已经在 上一篇文章（CR3无法被MmMapioSpace映射原理和绕过代码）。
那接下来就来介绍第二种方法，不仅可以判断物理帧是否是CR3，而且还能通过解密来得到这个CR3的EPROCESS。
先来一下对比CR3这个物理帧和普通物理帧在PFN数据库里的区别：
对比：
一、任意取一个进程的CR3
二、选个GDTR的物理帧
函数：
ListEntry这个链表的第一项就不同了，具体修改点在函数：MiSetPageTablePfnBuddy（）
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
