-
-
[原创]x64 windows从MmPfnData中枚举进程以及真实CR3
-
发表于: 2023-8-18 12:41
-
大概的思路：
当涉及到DirectoryTableBase的PTE Address时，可以通过计算得出。根据页表自映射的信息，很容易确定对应的PTE Address是PXE加上自映射页表的索引乘以8所得。
我们的目标是比较每个pfn的pte address。如果相等，那就意味着该pfn是CR3所对应的物理地址。
此外，根据前辈们的文章，可以得知MMPFN的第一项是经过加密处理的Eprocess
有此得出EPROCESS和Dirbase
完整代码：https://github.com/Rythorndoran/enum_real_dirbase/
相关引用：
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
hzqst
