看看。。。。

hex太乱，最清楚的解释就是10:10:12

学习了， 的确少写了个F，多谢，已经修正。

本人在另一个地方看到下面这个方法也可以得到某一虚拟地址对应PTE的虚拟地址的，初看起来，还不知道那是什么意思的，实际上它和楼主所说的在本质上是一样的。下面的内容引自《Undocumented Windows NT》：
“
MOV EAX, ESI
AND EAX, 0xFFFFF3FF
SHR EAX, 0A
SUB EAX, 40000000

MOV EAX, ESI
AND EAX, FFCFFFFF
SHR EAX, 14
SUB EAX,3FD00000

当 ESI 寄存器的值为一个虚地址时，这两段代码分别取得页表项和页目录项。 实际中所用的寄存器可能不同，但模式是一样的。 许多于内存管理相关的代码中都会见到此类代码。起初看上去是有些别扭，但他们都是经过2的补码方法高度优化的。 作为练习，试着弄清楚它是如何工作的。提示：页表被映射的起始点在虚地址 0xC0000000，而页目录的则在 0xC0300000。
”
上面引号里的话是原文的，下面是凭本人的理解，对这段代码的解悉：
MOV EAX, ESI
AND EAX, 0xFFFFF3FF   
SHR EAX, 0A                 ；右移12位再左移2位，结果就是右移10位。
SUB EAX, 40000000     ；对EAX而言（不考虑标志位），减去0x40000000和加上0xC0000000是一样的，之后
                        ；EAX便是ESI对应的VA的页表的虚拟地址。

MOV EAX, ESI
AND EAX, FFCFFFFF
SHR EAX, 14                 ；右移12+10位再左移2位，结果就是右移20位。
SUB EAX,3FD00000      ；对EAX而言，减去0x3FD00000和加上0xC0300000是一样的

原文说，“当 ESI 寄存器的值为一个虚地址时，这两段代码分别取得页表项和页目录项。”我觉得应是当 ESI 寄存器的值为一个虚地址时，这两段代码分别取得页表项和页目录项的VA。我没看英文版的《Undocumented Windows NT》，不知是不是译错了。

“提示：页表被映射的起始点在虚地址 0xC0000000，而页目录的则在 0xC0300000。”
有点误人子弟的嫌疑！！！

啥意思????

数学啊数学。

引号里的这段话，是那本书的原文的。

这个]“提示：页表被映射的起始点在虚地址 0xC0000000，而页目录的则在 0xC0300000。”据我了解，没问题吧。
如有误人子弟之处（虽然不是我误人子弟），请高手们指正，不胜感谢。

系统寻找进程的页表和页目录,只有CR3和指令的虚拟地址可用

不太明白下面几步的转换:
        =((VA&0xffc00000)>>10)+((VA&0x3ff000)>>10)+0xc0000000
        =((VA&0xffc00000)+(VA&0x3ff000)>>10)+0xc0000000
        =((VA&(0xffc00000|0x3ff000))>>10)+0xc0000000

我想单从页表和页目录的角度来说，只要在里面填入合适的内容，系统可以把进程的页表和页目录映到任一线性地址。用调试器看时，可以看到

系统把页表和页目录映射到0xC0300000处了的。

上传的附件：

• QQ截图未命名.jpg （75.57kb，267次下载）

“系统寻找进程的页表和页目录,只有CR3和指令的虚拟地址可用”

所以我想不只是只有CR3和指令的虚拟地址可用，从0xC0300000处拿来也可的。

前人可真厉害啊