-
-
[原创]Win11 24H2 关于MmPfnDatabase变动的浅逆
-
发表于: 2025-8-16 20:56
-
本人小白，逆向过程中有什么不足的地方欢迎大佬指正。
原本平平无奇的一天晚上，我愉快地打完游戏准备关机，突然发现之前一直折腾想升级win11但失败的电脑自动更新可以升了，这我自然非常高兴，一股脑嘎巴一下就升好了，整个过程还不到一个小时。但由于玩得太嗨，导致升完才想起来之前写的驱动在win11测试的效果不理想，可升都升了也不想回退，于是花费一天半时间写出了本篇逆向。
首先根据之前大佬的文章可以知道 _MMPFN中ListEntry的第一项是加密后的EPROCESS，分析驱动可得，无法正常获取dirbase的原因正是EPROCESS解密出了问题，解出来的并不是正确的，用IDA查看MiSetPageTablePfnBuddy函数，发现加密EPROCESS的部分改变了 (这里IDA的异或部分有点问题，正确的逻辑应为
， 附按照汇编手写的伪代码)
之前的是这样↓
知道了原因去找解决方法，先动调看汇编
这是MiSetPageTablePfnBuddy+0xc8
上文的qword_140E388B8则对应了这里ntkrnlmp!MiState+0xc078
最后于 2025-8-19 13:35
被YYF1337编辑
，原因：
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
big是当eprocess大于0x80000000时 经过windows处理后存储在MMPFN中的最高位会被抹掉，在解密时需要还原回来 文章里有说明的 |
|
|
|
