之前一直没发过文章，只是一直看文章，这次也想分享一些东西出来。由于本人的水平有限，也是初学者，因此如果有一些错误还望海涵。

在32位系统下，windows有两种分页机制，2-9-9-12分页以及10-10-12分页，而在64位下只有一种分页机制，那就是9-9-9-9-12分页。在64位下，线性地址的结构如下图所示

在x64体系中，只有48位是用来确定虚拟地址的，前面的16位成为符号拓展位，这16位只有为全1或者为全0两种情况。除了这两种情况之外的地址都是不合法的。这16为为全1时表示这个地址是一个内核空间的地址，而为全0时表示这个地址是一个用户空间的地址。

在64位下，存在三种不同大小的页面，分别为大页、中页、小页。其大小分别为1GB、2MB、4KB。

探索系统的分页机制最好的办法是对内核中的 MiIsAddressValid 函数的实现进行分析。win7和win10的64位系统下使用的是两种不同的查找 pte 、 pde 、 pdpte 、 pml4e 的方式。接下来分别对两个系统的该函数进行相应的分析

win7 64位下的 MiIsAddressValid 如下

首先通过移位，查看前16位是否为全0或者全1，如果不是，返回不合法。然后通过移位分别分出9-9-9-9-12这5部分，然后加上相应的基址，找到对应的 pte,pde,pdpte,pml4e ，并判断P位是否为0。如果为0返回不合法。

该函数较为简单，将减去的数值取反加一可以得到对应的基址

可得在win7 64位下，其 PTE_BASE 为 fffff68000000000 。

在 win10 1607 以上版本，微软为分页基址加上了随机页目录基址，这让定位 pte 变得更加困难。 PTE_BASE 不再是之前写死的值，而是每次开机都会随机在一定的范围内挑选一个值。而在 win10 64 位下的 MmIsAddressValidEx 函数中，其更换了另外一套寻找 pte,pde,pdpte,pml4e 的方法，如下

可以看到这里计算 pte,pde,pdpte,pml4e 的时候用的都只有一个 pte_base ，不再像win7那样求每个值的时候都使用一个不同的基址。而可以验证，在win7下，使用这样的方法来获取 pte,pde,pdpte,pml4e 一样可行。

这是一个由来已久的方法，在申请一块不可执行的内存后通过修改 pte 与 pde 手动将页面设置为可执行，达到隐藏可执行内存的目的。在编写这样的驱动的过程中也能巩固对x64分页机制的认识。

首先写一个用来验证的程序，程序本身很简单，跳转到我们输入的地址来验证我们写入程序中的shellcode是否可执行。如下

如果跳转到的地址是不可执行的，那么shellcode不会被执行，程序会异常退出。

接下来开始驱动的编写，主要要实现的是一个分配内存的 AllocateMemory 函数，可以往指定pid的进程中写入shellcode，并隐藏其可执行属性，使这块内存在vad树中看来是不可执行的。

在函数中进行进程的挂靠，然后通过 ZwAllocateMemory 在函数中分配一块保护为 PAGE_READWRITE 属性的内存。

最后写入shellcode，并在写入shellcode后将申请的内存全部设置为可执行。

代码如下

最后进行实验，查看代码是否可行。首先开启我们的验证进程，查看其vad树，如下

接下来加载驱动，可看到其在对应进程中申请的内存地址为 12f0000 。而且从输出中可以看出 shellcode 所在的地址的 pte 的最高位（no_execute）从之前的1被修改为了0。

重新查看其vad树，发现 12f0000 出多出了一块 PAGE_READWRITE 属性的内存，从vad树中看其是不可执行的。但是在程序中输入地址，可以看到 shellcode 成功执行，验证成功。

本项目的代码已上传到github，项目地址为https://github.com/smallzhong/hide_execute_memory ，欢迎大家star

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！