开门见山，本文的核心思路就是通过填充页表项，将一块连续的虚拟地址映射到新的地址，同时将需要修改的只读内存对应页表项的Dirty位置位。在Windows操作系统下，写保护是通过保护特定虚拟地址实现的，若不建立新映射，则即使将Dirty位置位，尝试写只读内存照样会触发BugCheck，若建立了新映射但不置位Dirty则触发PAGE_FAULT的BugCheck，两个步骤缺一不可。

    填充页表项首先需要动态定位PTEBase，国际惯例是采用大表哥的页表自映射法，代码如下：

    这里我顺便也给出另一种获取方案，基本思路是通过NT导出函数

    Dump下0x40000大小的数据，里面就存放有MmPfnDataBase，MmPfnDataBase是一个以物理地址页帧号为索引的内存信息数组，其中就有物理页对应的PTE项的地址PteAddress，我们传一个有效的物理地址进去（如当前CR3: __readcr3() & 0xFFFFFFFFF000）取出其中的PteAddress，由于PTEBase必定是0x8000000000的倍数，因此可由PteAddress直接算出PTEBase。另外，从Win10 RS1周年预览版开始，KeCapturePersistentThreadState开始受全局变量ForceDumpDisabled的控制，若注册表“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl”中有关子项满足条件，此变量会在开机启动时置为1，导致KeCapturePersistentThreadState调用失败。综上所述我们得到第二种获取PTEBase的代码如下：

    获取到PTEBase后，现在进入正题，下面代码的主要思路是：首先从某个有效的按512G对齐的内核虚拟地址开始，一直到0xFFFFFFFFFFFFFFFF，查找未被占用的PML4T（下文统称PXE）子项，即PXE的Valid位为0的子项。

    对于有效起始内核虚拟地址，一开始笔者选用的是MmSystemRangeStart，虚拟机测试发现对于8.1/10映射成功了，而Vista/7/8下CPU并没有承认映射地址的有效性触发了BugCheck，调试器发现Vista/7/8下MmSystemRangeStart=0xFFFF080000000000，而8.1/10下MmSystemRangeStart=0xFFFF800000000000，并且Vista/7/8下映射地址范围为[0xFFFF080000000000, 0xFFFF800000000000)时，调试器的CrashDump提示为Noncanonical Virtual Address。查阅了Intel手册后，笔者发现当前的Intel CPU支持的虚拟地址寻址最大位数限制为48位，对于64位Windows来说，第47位被用来区分用户层虚拟地址和内核层虚拟地址，即内核层地址实际上只有47位的有效位，于是得出有效起始内核虚拟地址为0xFFFF800000000000。当然严谨起见，可以使用CPUID的0x80000008号功能，此时eax寄存器的ah即为处理器支持的虚拟地址最大有效位数，设其为x，则对64位地址，只要将最高的(65-x)位全部置1，剩余的(x-1)位全部置0，即得有效起始内核虚拟地址。

    找到未使用的PXE子项后，申请一段连续的物理内存，初始大小为PXE子项以及PXE子项的512个PPE项所描述的页面大小，即(1 + 0x200) * PAGE_SIZE，若申请失败，则将申请的PPE项减半，以此类推……由于是连续物理内存，因此最好的方案是通过MmAllocateContiguousMemory申请，若使用ExAllocatePool，则当申请的页面不是2M大页面时，其虚拟地址对应的物理地址很可能不是连续的，这会给我们后续填充512个PPE项的物理页帧号徒增不少麻烦。申请到连续物理地址后，第一个页面填充至目标PXE子项，第2到513个页面的物理页帧号按顺序填充到PXE子项页面描述的512个PPE项中。随后给定任一个需要映射的虚拟地址，我们先将它按0x8000000000（512G）进行对齐，再依次检索其PXE、PPE、PDE项，若PXE项Valid为0或LargePage为1则不映射，否则开始依次检索PPE和PDE。若PPE项Valid为0，则把映射地址对应的PPE页面清零。若Valid为1则分别处理是否LargePage的情形，若为1G大页面，则将其等分成512个2M大页面，再把对应的物理页帧号按顺序填充到PPE描述的512个PDE项中；若不是大页面，则将被映射地址的PPE项对应的一页全部复制到映射地址对应的PPE页面中。从这里开始，基本的地址映射已经完成，接下来对欲修改的页面只要把其对应的PTE或大页面PDE或大页面PPE项的Dirty位置1即可。

    在Win10 18362.207 x64上的测试代码与结果：

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课