-
-
[求助]PAE模式下的页目录表基址,页表基址探求
-
发表于: 2020-10-24 17:36
-
首先从XP中把ntkrnlpa.exe拽出来,PAE模式下内核文件为ntkrnlpa.exe,101012模式下为ntoskrnl.exe
拖入IDA定位MmIsAddressValid函数
通过初步分析得到两个基址:C0600000 C0000000,根据之前101012模式下的学习,猜测C0600000为PDT基址,另一个为PTT基址
然后开始验证
XP中随便打开一个程序,就记事本吧
WINDBG查看CR3的值
1 2 3 | PROCESS 89c753c0 SessionId: 0 Cid: 0148 Peb: 7ffdf000 ParentCid: 0538 DirBase: 0aac0320 ObjectTable: e151e008 HandleCount: 44. Image: notepad.exe |
得出CR3 = 0aac0320
首先验证C0600000
转换二进制:1100 0000 0110 0000 0000 0000 0000 0000
29912格式拆分:11-00 0000 011-0 0000 0000 -0000 0000 0000
得出四个值:3-3-0-0
WINDBG开始看内存
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 | kd> !dd 0aac0320`# aac0320 313a5801 00000000 31366801 00000000# aac0330 312a7801 00000000 313a4801 00000000PDPTI为3 所以选第四个:313a4801 313a4000 + PDI*8 = 313a4018kd> !dd 313a4018#313a4018 313a4863 00000000 312a8863 00000000得到PDE 00000000`313a4863 PS位为0,小页继续拆 313a4000 + PTI*8 = 313a4000kd> !dd 313a4000#313a4000 313a5863 00000000 31366863 00000000#313a4010 312a7863 00000000 313a4863 00000000得到PTE 00000000`313a5863 物理页:313a5000 + OFFSET = 313a5000kd> !dd 313a5000#313a5000 31544867 00000000 31520867 00000000#313a5010 31574867 00000000 00000000 00000000按理来说这里应该和PDT的值一样,但是明显不一样 |
求助各位大佬,是我IDA分析搞错了,还是拆分查内存的步骤搞错了,
PAE模式下的两个基址都是啥
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
最后于 2020-10-24 17:38
被SSH山水画编辑
，原因：
|
|
|---|---|
|
|
怀疑你压根没开PAE模式，先检查下CR4吧
|
|
|
PAE确实开了的 |
|
|
眼拙了，才发现你DirectoryTableBase没清低12位就拿来用了 
|
|
|
....PAE模式下CR3在找内存的时候还要清低12位吗....我记得101212时候没清啊... |
|
|
页表本来就是页对齐的啊，低12位是PCID由CR4 bit1控制 |
|
|
你是说哪一步没清,是直接dd CR3这吗:!dd 0aac0320` |
|
|
DirBase&0xFFFFF000=0xAAC0000 |
|
|
你记错了吧...第一步查的是PDPT那张表,CR3不用清低12位的,直接DD就可以了.... |
|
|
我跟x86-64的搞混了，按理来说你步骤没错，看到的应该是C0600000的物理页 |
|
|
有可能你没attach到记事本，你图里前面的4项是虚拟地址0到0x800000的PDE，你看对比下物理页后一半的内容还差不多 |
|
|
|
SSH山水画
