-
-
[原创]无需解密页帧中的进程结构来获取真实CR3
-
发表于: 2025-12-12 21:50
-
EAX,ACX,FAC等内核级反作弊都陆续上了CR3的加密，即：想办法接管内核异常并将_KPROCESS.DirectoryTableBase的值写份错的，然后在附加等一切需要访问_KPROCESS.DirectoryTableBase的操作触发异常时，在接管后的异常处理回调中修复DirectoryTableBase的值
而作为内核"安全"开发者，我们需要来获取进程真实的CR3来读取进程数据检查游戏安不安全，有没有隐藏的漏洞。
所以，想办法解密/获取真实CR3是非常有必要的。
市场上大多数在售的非法驱动采用的都是 学技术打豆豆 大佬的方法：
通过CR3的页帧中ListEntry.Flink会指向被加密的进程K/EPROCESS结构指针这个原理，结合遍历MmPfnDataBase来不断比对页帧的ListEntry.Flink解密后是否为需要找的进程K/EPROCESS结构指针，从而获取到真实的CR3
但是这个方法有个缺点：
即 在Win10/11部分版本(经测Win11 24H2以及群友反馈部分高版本Win10/11)中，对应的加密算法(MiSetPageTablePfnBuddy函数中可见)与其他版本不同，需要额外处理，适配起来很麻烦
(下图为除特殊版本外，默认的加密K/EPROCESS方法)
[招生]科锐逆向工程师培训(2026年7月3日实地，远程教学同时开班, 第56期)！
最后于 2026-6-19 00:44
被Hook你的心跳编辑
，原因： 更新说明 增加更多说明以及实现原理
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
插内核apc 还是用户apc |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
