[原创]简单的早期"EAC将bigpools导出以寻找可能映射的驱动程序"利用清空-逆向工程-看雪安全社区

# 引言
内存区域划分布局已有资料表述
# 正文
PoolBigPageTable 是 Windows 操作系统内核中一个非常重要的数据结构，它用来管理和跟踪大页内存（Big Pages）的分配和使用情况。
以下均以WIN10 21H2为例
 ![图片描述](upload/attach/202501/993779_XPKSYKEWMG5PFZG.webp)
如上图所示
在IDA中 "ExFreeHeapPool"函数有关于PoolBigPageTable"表中"对于指定地址如何查找其在表中的位置.
# 实验
	index = (((0x9E5F * (unsigned __int64)(unsigned int)((ULONG64)myself_expoolTag >> 0xC)) >> 0x20) ^
		(0x9E5F * (unsigned __int64)(unsigned int)((ULONG64)myself_expoolTag >> 0xC))) & (unsigned int)(*(ULONG64*)PoolBigPageTableSize_val - 1);
代码中myself_expoolTag为实验假设开辟的内存,PoolBigPageTableSize_val为系统全局变量大小
通过如上代码运算可以得到指定index 之后根据上述微软的计算过程
以及对应每一块"内存包"的结构体:

```
// 定义 Pool_Info 结构体
typedef struct _Pool_Info {
    volatile ULONGLONG Va;                                                  //0x0
    ULONG Key;                                                              //0x8
    ULONG Pattern : 8;                                                        //0xc
    ULONG PoolType : 12;                                                      //0xc
    ULONG SlushSize : 12;                                                     //0xc
    ULONGLONG NumberOfBytes;
} Pool_Info, * pPool_Info;
```

```
*(_QWORD *)(PoolBigPageTable_buffer + 24i64 * (unsigned int)index) != memory_viraddress
```
上述代码左侧的式子得到之后,便与自己开辟的地址进行比较如果不一样则index+1亦或者左侧代码+0x18到下一个正常2次循环便可以得到指定地址

```
	ULONG64 End_PoolBigPageTable = *(ULONG64*)PoolBigPageTable_val + *(ULONG64*)PoolBigPageTableSize_val * 0x18;
					fix_pool = *(ULONG64*)PoolBigPageTable_val;
					while (fix_pool < End_PoolBigPageTable)
					{
						
						tempPoolInfo = (pPool_Info)fix_pool;
						if (tempPoolInfo->Va == 0)
						{
							fix_pool += 0x18;
							continue;
						}
						if (tempPoolInfo->Va == (ULONG64)myself_expoolTag)
						{
							DbgPrint("找到匹配的修复信息地址,地址为: %llx\r\n", fix_pool);
							isFound = true;
							break;
						}
						fix_pool += 0x18;
					}
```
如果不按照2次及以下查找也可以像上述代码一样暴力.在此利用不再赘述
最后你便可以选择抹去此表中的信息块

```
poolInfo->Va = 0x1;
poolInfo->NumberOfBytes = 0;
```
注意:算法在不同的微软系统版本不同,请自行查阅.

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

#系统底层 #软件保护 #加密算法

最新回复 (60) 1 2 3 ▶
逆向爱好者雪币： 3557 活跃值： (7934) 能力值： ( LV3，RANK：20 ) 在线值：发帖 37 回帖 288 粉丝 25 关注私信	逆向爱好者 2 楼牛逼牛逼 2025-1-24 23:57 0
不吃麻婆豆腐雪币： 1568 活跃值： (621) 能力值： ( LV3，RANK：30 ) 在线值：发帖 9 回帖 79 粉丝 14 关注私信	不吃麻婆豆腐 3 楼 1 2025-1-25 06:07 0
丶kk 雪币： 914 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 18 粉丝 0 关注私信	丶kk 4 楼 111 2025-1-25 09:53 0
fujing 雪币： 4182 活跃值： (6569) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 142 粉丝 4 关注私信	fujing 5 楼感谢你分享这么好的资源！ 2025-1-25 12:50 0
Imxz 雪币： 110 活跃值： (9571) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 775 粉丝 9 关注私信	Imxz 6 楼 666666666666666666666 2025-1-28 00:46 0
m4ple 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 27 粉丝 0 关注私信	m4ple 7 楼 tyty 2025-1-29 12:59 1
CCTV9 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 3 回帖 58 粉丝 2 关注私信	CCTV9 8 楼 66666666666666666 2025-2-3 00:11 0
wx_庸才雪币： 20 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 19 粉丝 0 关注私信	wx_庸才 9 楼 2 2025-2-5 10:32 0
lytywg 雪币： 680 活跃值： (1740) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 72 粉丝 1 关注私信	lytywg 10 楼 66666666…… 2025-2-6 04:38 0
eroy 雪币： 1958 活跃值： (3073) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 78 粉丝 0 关注私信	eroy 11 楼 66666666…… 2025-2-6 10:26 0
OmenFk 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 13 粉丝 1 关注私信	OmenFk 12 楼我来看看！！ 2025-2-6 15:16 0
Deice 雪币： 113 活跃值： (2135) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 24 粉丝 0 关注私信	Deice 13 楼感谢你分享这么好的资源！ 2025-2-6 15:52 0
mb_fzwldzav 雪币： 453 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 69 粉丝 0 关注私信	mb_fzwldzav 14 楼我来看看！！ 2025-2-6 15:56 0
龙幽雪币： 325 活跃值： (1453) 能力值： ( LV4，RANK：50 ) 在线值：发帖 5 回帖 93 粉丝 4 关注私信	龙幽 1 15 楼 666-999 2025-2-6 20:48 0
兔子头雪币： 213 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 51 粉丝 0 关注私信	兔子头 16 楼我来看看！！ 2025-2-7 09:49 0
0x太上雪币： 409 活跃值： (4813) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 37 粉丝 162 关注私信	0x太上 17 楼我来看看！！ 2025-2-7 16:00 0
bisoso 雪币： 99 活跃值： (1747) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 96 粉丝 0 关注私信	bisoso 18 楼具体看看思路！ 2025-2-7 20:09 0
WindBlow小迪雪币： 59 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 10 粉丝 0 关注私信	WindBlow小迪 19 楼学习下 2025-2-7 20:12 0
mb_aorspzpl 雪币： 41 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 22 粉丝 0 关注私信	mb_aorspzpl 20 楼学习下 2025-2-7 21:49 0
mb_krgitgos 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_krgitgos 21 楼学习下 2025-2-10 16:21 0
mb_lsovogbn 雪币： 11 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 25 粉丝 0 关注私信	mb_lsovogbn 22 楼 1 2025-2-12 01:55 0
wodexinren 雪币： 74 活跃值： (1173) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 227 粉丝 0 关注私信	wodexinren 23 楼学习下 2025-2-12 09:49 0
PeterZheng 雪币： 1108 活跃值： (2882) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 69 粉丝 0 关注私信	PeterZheng 24 楼看看！ 2025-2-12 10:18 0
Orange88 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 7 粉丝 0 关注私信	Orange88 25 楼看看吧 2025-2-12 12:20 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复