[原创]简单利用微软MiAllocatePool申请内存算法-举例找出MMVAD结构-逆向工程-看雪安全社区

# 引言
探讨关于MiAllocatePool申请内存的部分算法
无需任何API枚举信息
# 正文
**下文描述的调用过程:MiAllocatePool->ExpAllocatePoolWithTagFromNode->ExAllocateHeapPool->RtlpHpLfhSlotAllocate**

非分页内存下
首先让我们回顾一下VAD树
 ![图片描述](upload/attach/202504/993779_MJG84SRBVD7N7PC.webp)
不知道有没有细心的师傅们观察过_MMVAD结构这个地址是存在一个非常有规律的内存布局
当有模块的情况下
 ![图片描述](upload/attach/202504/993779_NBJ338BYMX9483J.webp)
我们仔细观察发现 它是一个极其规律的布局形式
既然存在这么一块区域,我们就可以遍历
## 如何遍历和查找
如何找到想要的区域起始位置?
这里微软给出了答案:
在RtlpHpLfhSlotAllocate下的
 ![图片描述](upload/attach/202504/993779_3MUERSHH96NQ246.webp)
就是想要的起始位置
我们向上看发现

```
 Base_Before = *(_QWORD *)(AffinitySlotPtr_buffer + 0x38);
 SubsegmentBaseAddress = Base_Before & 0xFFFFFFFFFFFFF000ui64;
```
继续看AffinitySlotPtr_buffer来源

```
unsigned __int64 __fastcall RtlpHpLfhSlotAllocate(
        __int64 LfhContextPtr,
        __int64 BucketPtr,
        __int64 AffinitySlotPtr,
        unsigned int AlignedBlockSize,
        unsigned int AllocationFlags)
```
来源于第三个参数,追回到上一层
其第三个参数是一个算法过程:

```
*(_QWORD *)(RtlpHpLfhPerfFlags_relate
+ MaxAffinity
- (((_BYTE)MaxAffinity - 1) & 7)
+ 7
+ BucketPtr
+ 8i64 * AffinitySlotIndex)
```
这里有几个参数过程很麻烦 很复杂这里给各位整理之后的算法 (Windows 10 21H2 19044)

```
( *(ULONG64 *)((*(ULONG64 *)(0xC0+ (*(unsigned __int8 *)((*(ULONG64 *)( nt!ExPoolState + 0x3900 + 8)) + 0x378)) 
- (((_BYTE)(*(unsigned __int8 *)((*(ULONG64 *)( nt!ExPoolState + 0x3900 + 8)) + 0x378)) - 1) & 7)+ 
7+ (*((__int64 *)((*(ULONG64 *)( nt!ExPoolState + 0x3900 + 8))+ 0x340 + 8 * 0x1A)))+ 8*0)) + 0x38))
 & 0xFFFFFFFFFFFFF000ui64
```
这样我们就精准的定位到了这块区域的起始位置,当然逆向出算法仅仅是一种提高效率的方法,还有很多暴力搜索的方法各位师傅们可以自行探索,这里暂时不作研究
有了起始地址之后,我们就可以进行内存暴力搜索,这里就比较容易
举个例子,我们要得到MMVAD结构的模块信息,只需要在这块内存中
 ![图片描述](upload/attach/202504/993779_SQ4KJJJ5U8836VN.webp)
找到这个Vad的码然后+0x10的位置就是 MMVAD Address
那么MMVAD+0x70的位置然后 &~0xf 就是EPROCESS 这里可以用作枚举进程
当然这里是不同的内存区域情况,不仅局限于VAD还有更多的信息不言而喻>>>
# 感谢阅读

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

最后于 2025-4-9 20:00 被S极客编辑，原因：

#调试逆向 #系统底层 #软件保护 #加密算法

最新回复 (48) 1 2 ▶
啊你好哇123 雪币： 799 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 378 粉丝 0 关注私信	啊你好哇123 2 楼学习学习 2025-4-10 09:08 0
Roger 雪币： 4869 活跃值： (4606) 能力值： ( LV8，RANK：147 ) 在线值：发帖 6 回帖 132 粉丝 138 关注私信	Roger 1 3 楼 mark 2025-4-10 14:41 0
mb_cuitmohb 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 60 粉丝 0 关注私信	mb_cuitmohb 4 楼学习学习 2025-4-10 20:09 0
如此美丽。雪币： 2 活跃值： (693) 能力值： ( LV3，RANK：30 ) 在线值：发帖 0 回帖 43 粉丝 3 关注私信	如此美丽。 5 楼学习学习 2025-4-11 22:06 0
mb_fzwldzav 雪币： 453 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 69 粉丝 0 关注私信	mb_fzwldzav 6 楼学习学习 2025-4-13 10:40 0
mb_pxdkpjwh 雪币： 193 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	mb_pxdkpjwh 7 楼 666 2025-4-13 11:26 0
Fre1heit 雪币： 176 活跃值： (208) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	Fre1heit 8 楼 11 2025-4-15 15:32 0
JWPL 雪币： 289 活跃值： (2416) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 99 粉丝 1 关注私信	JWPL 9 楼学习。 2025-4-15 19:48 0
m4ple 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 27 粉丝 0 关注私信	m4ple 10 楼 study 2025-4-15 21:02 0
xxxxxxxxxoo 雪币： 2043 活跃值： (365) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 27 粉丝 0 关注私信	xxxxxxxxxoo 11 楼 wwwwwwwww 2025-4-17 11:25 0
lysha 雪币： 5 活跃值： (797) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 17 粉丝 0 关注私信	lysha 12 楼学习学习 2025-4-25 01:49 0
hungnguyen 雪币： 188 活跃值： (2176) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 114 粉丝 0 关注私信	hungnguyen 13 楼 Thanks for share! 2025-4-25 09:31 0
fujing 雪币： 4182 活跃值： (6569) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 142 粉丝 4 关注私信	fujing 14 楼你的帖子非常有用，感谢分享！ 2025-4-25 10:22 0
kill99 雪币： 200 活跃值： (105) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 10 粉丝 0 关注私信	kill99 15 楼学习。 2025-5-18 04:41 0
mb_lsovogbn 雪币： 11 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 25 粉丝 0 关注私信	mb_lsovogbn 16 楼 1 2025-5-18 04:56 0
姿势不对雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	姿势不对 17 楼。。。 2025-5-23 07:14 0
fujing 雪币： 4182 活跃值： (6569) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 142 粉丝 4 关注私信	fujing 18 楼非常支持你的观点！ 2025-5-23 07:39 0
璀璨访华雪币： 1340 活跃值： (3244) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 8 粉丝 0 关注私信	璀璨访华 19 楼 1111111111 2025-5-28 10:18 0
OmenFk 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 13 粉丝 1 关注私信	OmenFk 20 楼看看！ 2025-5-29 15:20 0
大梦惊觉雪币： 10 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 20 粉丝 1 关注私信	大梦惊觉 21 楼学习 2025-6-15 13:27 0
misanbai 雪币： 262 活跃值： (525) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 32 粉丝 0 关注私信	misanbai 22 楼 mark 2025-6-24 11:05 0
yuan_d 雪币： 24 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	yuan_d 23 楼 mark 2025-8-11 21:58 0
wx_何健雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 34 粉丝 1 关注私信	wx_何健 24 楼 mark 2025-8-19 15:37 0
mb_aopnnvxb 雪币： 97 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 81 粉丝 0 关注私信	mb_aopnnvxb 25 楼 mark 2025-9-8 09:21 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复