-
-
[原创]CR3解密之MMPFN->EPROCESS通杀分析
-
发表于: 2025-7-27 20:14
-
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
MiGetPageTablePfnBuddyRaw返回的就是直接的EPROCESS对象地址，MiGetPfnPidSafe参数2传1的确是走MiGetLeafPfnBuddy，系统不同这里的参数2标志位好像也不同 我测试另外一个系统版本 参数写2是走MiGetLeafPfnBuddy ，所以具体写1还是2 还得看情况，还有就是个人不推荐调用MiGetPfnPidSafe ，MiGetPageTablePfnBuddyRaw其实就已经最好用的了，直接走算法把 哈哈 简单粗暴 //W11 u1 = ((((EPROCESS >> 1) | (0x80000000)) - 1) * 0x10) | (eproc & 0xFFFFFFF000000000); if (u1 == eproc) { dribase = i << PAGE_SHIFT; break; } 这套是最新的算法 0401ffffh是固定的值 所以不需要从mmpfn结构中读取这个数值，另外0xffffad8000000000这个地址 通过EPROCESS对象地址能运算得出 也不需要读地址表了 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
