EAC : 更新了个寂寞？

EAC：已举办

我测试了几天，获取cr3不是很准，比如process.cr3=0x3d188000，从上面的代码获取偶尔会0x3d187000或者是0x3d189000，不是很懂。

cheating 我测试了几天，获取cr3不是很准，比如process.cr3=0x3d188000，从上面的代码获取偶尔会0x3d187000或者是0x3d189000，不是很懂。

再找个地址读下数据做个验证就行了

syser 再找个地址读下数据做个验证就行了

但是这种验证也不是很准确。

mark

上面我说的那个CR3出错混乱的问题解决了。

cheating 上面我说的那个CR3出错混乱的问题解决了。

怎么解决的

hzqst EAC：已举办

举办恭事？

感谢分享

enum_process_dirbase当在被映射的驱动中调用这个方法就无法获取dirbase，很难受，各项参数函数地址都是正确的，可能是MmGetPhysicalMemoryRanges()的返回出了问题，不知道能不能解决

auto decrypted_eprocess = ((cur_mmpfn->flags | 0xF000000000000000) >> 0xd) | 0xFFFF000000000000;
这个是从哪个文章了解的，想拜读一下

蓝屏

这个是代码在1809上可以跑，22h2就蓝屏，不知道哪里做适配，
uintptr_t get_kernel_base() {
       const auto idtbase = *reinterpret_cast<ULONG64*>(__readgsqword(0x18) + 0x38);
       const auto descriptor_0 = *reinterpret_cast<ULONG64*>(idtbase);
       const auto descriptor_1 = *reinterpret_cast<ULONG64*>(idtbase + 8);
       const auto isr_base = ((descriptor_0 >> 32) & 0xFFFF0000) + (descriptor_0 & 0xFFFF) + (descriptor_1 << 32);
       auto align_base = isr_base & 0xFFFFFFFFFFFFF000;

       for (; ; align_base -= 0x1000) {
               for (auto* search_base = reinterpret_cast<UCHAR*>(align_base); search_base < reinterpret_cast<UCHAR*>(align_base) + 0xFF9; search_base++) {
//不知道这里是什么意思，是要跟不同版本系统做适配吗？
                       if (search_base[0] == 0x48 &&
                               search_base[1] == 0x8D &&
                               search_base[2] == 0x1D &&
                               search_base[6] == 0xFF) {
                               const auto relative_offset = *reinterpret_cast<int*>(&search_base[3]);
                               const auto address = reinterpret_cast<ULONG64>(search_base + relative_offset + 7);
                               if ((address & 0xFFF) == 0) {
                                       if (*reinterpret_cast<USHORT*>(address) == 0x5A4D) {
                                               return address;
                                       }
                               }
                       }
               }
       }
}

mb_eowrspwy 这个是代码在1809上可以跑，22h2就蓝屏，不知道哪里做适配， uintptr_t get_kernel_base() { const auto idtbase = *reinterpret_ ...

就是获取ntos基址，你换ntquerysysteminformation获取一样的