[原创]vmware外部读写内存也没那么神秘-软件逆向-看雪-安全社区|安全招聘|kanxue.com

1
已经试过了,如图，环境是win10，内存分页已经关闭，读取的虚拟地址是explorer.exe里面的.text段，只要没访问过这片内存，pte上是不会显示这个地址的分页的，找了很久这个问题也没解决，奇怪的点是如果你在虚拟机内，使用CE或者X64DBG，又或者你直接使用ReadProcessMemory这个函数，去读取一次这个虚拟地址，箭头上的那个失败地址[1E4BD125388]一模一样的地址上，就会挂上最新的分页

2025-1-31 06:05

0

AsuraCoder

雪币： 1014

活跃值： (776)

能力值：

( LV2，RANK：10 )

在线值：

发帖

1

回帖

36

粉丝

0

关注

私信

AsuraCoder: 162 楼

看看什么方法

2025-1-31 20:24

0

陈渊

雪币： 0

活跃值： (35)

能力值：

( LV2，RANK：10 )

在线值：

发帖

0

回帖

1

粉丝

0

关注

私信

陈渊: 163 楼

酷酷酷

2025-2-1 00:37

0

zylrocket

雪币： 3535

活跃值： (5889)

能力值：

( LV2，RANK：10 )

在线值：

发帖

27

回帖

267

粉丝

13

关注

私信

zylrocket: 164 楼

才

2025-2-1 02:01

0

softmasm

雪币： 448

活跃值： (694)

能力值：

( LV2，RANK：10 )

在线值：

发帖

3

回帖

14

粉丝

0

关注

私信

softmasm: 165 楼

看看什么方法

2025-2-1 02:11

0

治愈ckt

雪币： 1105

活跃值： (493)

能力值：

( LV2，RANK：10 )

在线值：

发帖

1

回帖

10

粉丝

0

关注

私信

治愈ckt: 166 楼

第一次看这种题材，看看什么东西，先谢谢师傅分享

2025-2-1 09:10

0

mb_gbccmdml

雪币：

能力值：

( LV1，RANK：0 )

在线值：

发帖

0

回帖

1

粉丝

0

关注

私信

mb_gbccmdml: 167 楼

你的分享对大家帮助很大，非常感谢

2025-2-1 10:08

0

CrazyCC

雪币： 2

活跃值： (231)

能力值：

( LV2，RANK：10 )

在线值：

发帖

0

回帖

2

粉丝

0

关注

私信

CrazyCC: 168 楼

学习一下内容

2025-2-1 15:44

0

X小浪X

雪币： 11

活跃值： (1076)

能力值：

( LV2，RANK：10 )

在线值：

发帖

0

回帖

7

粉丝

0

关注

私信

X小浪X: 169 楼

路过看看

2025-2-1 17:07

0

亮亮0107

雪币： 232

能力值：

( LV1，RANK：0 )

在线值：

发帖

0

回帖

1

粉丝

0

关注

私信

亮亮0107: 170 楼

看看什么方法

2025-2-1 17:54

0

浅笑心柔

雪币： 312

活跃值： (386)

能力值：

( LV2，RANK：10 )

在线值：

发帖

1

回帖

24

粉丝

0

关注

私信

浅笑心柔: 171 楼

感谢你的贡献，论坛因你而更加精彩！

2025-2-1 22:31

0

yjzlong

雪币： 145

活跃值： (128)

能力值：

( LV2，RANK：10 )

在线值：

发帖

1

回帖

60

粉丝

0

关注

私信

yjzlong: 172 楼

看看学习一下

2025-2-2 00:00

0

mb_juuexlrb

雪币： 0

能力值：

( LV1，RANK：0 )

在线值：

发帖

0

回帖

5

粉丝

0

关注

私信

mb_juuexlrb: 173 楼

pcileech办法的做法是插入shellcode到内核中启动一个工作线程
工作线程的上下文是在之前挂钩分配的一个非分页内存(tdKMDDATA)
通过这个非分页内存(tdKMDDATA)和外的程序进行直接读写通讯
实现这些功能

#define KMD_CMD_VOID 0xffff
#define KMD_CMD_COMPLETED 0
#define KMD_CMD_READ 1
#define KMD_CMD_WRITE 2
#define KMD_CMD_TERMINATE 3
#define KMD_CMD_MEM_INFO 4
#define KMD_CMD_EXEC 5
#define KMD_CMD_READ_VA 6
#define KMD_CMD_WRITE_VA 7
#define KMD_CMD_EXEC_EXTENDED 8
这样就非常巧妙的达到了一些常用功能具体的实现可以参考tdKMDDATA 这个结构体

2025-2-2 21:49

1