首页
社区
课程
招聘
[求助]Ring3下读取SSDT失败的疑问
发表于: 2006-12-15 23:21 4792

[求助]Ring3下读取SSDT失败的疑问

2006-12-15 23:21
4792
在Ring3下通过读写物理内存来读取SSDT,
为什么在一些机子上成功,另一些机子上又会失败?

请看一下用SDTrestore Version 0.2做的测试:
==============================================
SDTrestore Version 0.2 Proof-of-Concept by SIG^2 G-TEC (www.security.org.sg)

KeServiceDescriptorTable           8055A480
KeServiceDecriptorTable.ServiceTable   FF99E588
KeServiceDescriptorTable.ServiceLimit   297

Failed to map physical memory view of length 2000 at 7F99E588!
==============================================

ServiceTable的地址???

测试环境:WinXP-sp2

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

收藏
免费 0
支持
分享
最新回复 (9)
雪    币: 201
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
试了一下,在我的机器一运行就程序出错,什么都读不到
2006-12-16 09:16
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
哪位朋友来帮忙解惑一下吧~~
2006-12-16 23:58
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
2006-12-18 13:55
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
为什么映射内存7F99E588时会返回此地址无效???
2006-12-19 20:10
0
雪    币: 101
活跃值: (12)
能力值: ( LV12,RANK:210 )
在线值:
发帖
回帖
粉丝
6
我机器上ZwCreateSection一直失败. 2003server. 郁闷.
2006-12-21 00:35
0
雪    币: 101
活跃值: (12)
能力值: ( LV12,RANK:210 )
在线值:
发帖
回帖
粉丝
7
ZwOpenSection
2006-12-21 00:36
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
最初由 jjnet 发布
ZwOpenSection


什么意思兄弟?
2006-12-21 14:43
0
雪    币: 258
活跃值: (230)
能力值: ( LV12,RANK:770 )
在线值:
发帖
回帖
粉丝
9
系统有些差别,或者是补丁其他问题驱动问题很难说!
我的机器:xp sp2:

008:8055AB80  KeServiceDescriptorTable
0008:804E3D20 KeServiceDecriptorTable.ServiceTable
460        KeServiceDescriptorTable.ServiceLimit   

KeServiceDecriptorTable.ServiceTable

0008:804E3D20 91 76 58 80 EF 16 57 80-71 AB 57 80 5C 1B 58 80  .vX...W.q.W.\.X.
0008:804E3D30 F7 9F 59 80 80 7B 63 80-05 9D 63 80 4E 9D 63 80  ..Y..{c...c.N.c.
0008:804E3D40 1C 74 57 80 5B 85 64 80-47 73 63 80 39 95 59 80  .tW.[.d.Gsc.9.Y.
0008:804E3D50 EC F4 62 80 8C A9 57 80-5E 15 59 80 1F 66 62 80  ..b...W.^.Y..fb.
0008:804E3D60 01 68 59 80 77 97 56 80-FD B3 5D 80 67 55 5A 80  .hY.w.V...].gUZ.
0008:804E3D70 40 43 4E 80 47 85 64 80-A2 CC 5C 80 8F AF 4F 80  @CN.G.d...\...O.
0008:804E3D80 11 7C 56 80 56 1E 4F F7-A7 99 59 80 37 E5 64 80  .|V.V.O...Y.7.d.
0008:804E3D90 10 34 58 80 62 15 58 80-A5 E7 64 80 34 9C 59 80  .4X.b.X...d.4.Y.
0008:804E3DA0 FF 38 4E 80 94 94 65 80-04 5A 5A 80 53 C5 56 80  .8N...e..ZZ.S.V.
0008:804E3DB0 AC 8B 64 80 4C 26 57 80-ED 8E 59 80 9A E3 5A 80  ..d.L&W...Y...Z.
0008:804E3DC0 93 F9 62 80 0D 8B 3D B7-12 B3 5D 80 73 9E 57 80  ..b...=...].s.W.
0008:804E3DD0 0D 1F 58 80 20 EA 4B F7-99 36 59 80 43 45 5B 80  ..X. .K..6Y.CE[.
0008:804E3DE0 D3 95 58 80 CD 91 64 80-1B 5B 56 80 D8 60 57 80  ..X...d..[V..`W.
0008:804E3DF0 B0 37 5A 80 2C 20 4F F7-B0 00 5E 80 09 BD 5A 80  .7Z., O...^...Z.
0008:804E3E00 96 5F 5A 80 0C A6 65 80-67 A7 65 80 E1 6F 56 80  ._Z...e.g.e..oV.
0008:804E3E10 B4 A6 57 80 47 85 64 80-F7 9C 5D 80 0D 8C 3D B7  ..W.G.d...]...=.
0008:804E3E20 A5 9D 63 80 81 8D 3D B7-D0 0B 58 80 E1 20 5C 80  ..c...=...X.. \.
0008:804E3E30 BE 53 57 80 F7 E3 57 80-5B 85 64 80 A8 F2 4B F7  .SW...W.[.d...K.
2006-12-21 18:00
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
//******************************************
……
ntStatus = _NtMapViewOfSection(hPhyMem, (HANDLE)-1, virtualAddr, 0,*length, &viewBase, length,ViewShare, 0, PAGE_READWRITE );
……
//******************************************

用NtMapViewOfSection映射物理内存,是不是有什么限制啊?

为什么在一些机子上成功:
NtMapViewOfSection返回00000000(STATUS_SUCCESS)

另一些机子上又不成功(GetLastError返回1008或487):
NtMapViewOfSection返回C00000F4(STATUS_INVALID_PARAMETER_6)
2007-1-17 16:38
0
游客
登录 | 注册 方可回帖
返回
//