-
-
[原创]遍历MmPfnDatabase获取EPROCESS的CR3地址
-
发表于: 2025-4-23 23:14
-
[原创]【抛砖引玉，但是我是玉】一个可以通杀EAC-CR3保护的猜想
win10 1909逆向（通过任意物理帧判断是否是CR3和解密得到所属EPROCESS）
看完这俩大佬的文章后，在看雪找了半天找不着代码实现，本菜鸡只好东抄抄西改改的实现了
windbg远程调试输入指令 u KeCapturePersistentThreadState l 50
代码实现，具体解析mov地址啥的都是抄的，不是很懂，但是可以正确获得MmPfnDatabase的地址
代码如下：
DecryptEProcess是第二篇文章里头写了的，我的和他一样，其余版本系统可以通过MiSetPageTablePfnBuddy重写这个函数。
MmNumberOfPhysicalPages在windbg里头报下面的错，看不懂
我直接用主机的16273*1024/4=0x3f9100得到的。
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
