首页
社区
课程
招聘
[求助]关于文件映射的一些疑惑?
发表于: 2009-8-16 18:08 4539

[求助]关于文件映射的一些疑惑?

2009-8-16 18:08
4539
在R3下调MapViewOfFile 等函数,会映射文件到内存地址空间。  然后在访问内存地址空间的时候会产生一个缺页中断, 然后由系统负责将文件重新做映射处理。

我最近在研究SSDT、IDT , 我想既然它有中断, 在SSDT, IDT能否能HOOK 到?   有没有这方面的例子和资料可供研究?  

不知道我说清楚 没, 先谢过了。

[课程]Android-CTF解题方法汇总!

收藏
免费 0
支持
分享
最新回复 (7)
雪    币: 251
活跃值: (15)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
#PF—Page-Fault Exception (Vector 14)
A #PF exception can occur during a memory access in any of the following situations:
• A page-translation-table entry or physical page involved in translating the memory access is not
present in physical memory. This is indicated by a cleared present bit (P=0) in the translation-table
entry.
• An attempt is made by the processor to load the instruction TLB with a translation for a nonexecutable
page.
• The memory access fails the paging-protection checks (user/supervisor, read/write, or both).
• A reserved bit in one of the page-translation-table entries is set to 1. A #PF occurs for this reason
only when CR4.PSE=1 or CR4.PAE=1.
#PF cannot be disabled.

AMD的文档
不知道你想做什么
2009-8-16 19:04
0
雪    币: 124
活跃值: (10)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
3
缺页中断可以hook.
但是并不仅仅文件被映射时有缺页中断。
2009-8-16 19:42
0
雪    币: 40
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
我想HOOK 文件映射中的读文件操作,  如果发生缺页的话它应该会有读文件操作吧?
2009-8-16 22:49
0
雪    币: 251
活跃值: (15)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
不一定,有时候文件的内容已经在内存了
2009-8-17 00:13
0
雪    币: 40
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
已经在内存中的我不管, 只要它去映射一段新内存 (读问题件), 我能否HOOK到?
2009-8-17 09:39
0
雪    币: 636
活跃值: (174)
能力值: ( LV9,RANK:260 )
在线值:
发帖
回帖
粉丝
7
能,给个简单的思路,不知是否可行:
先把MapViewOfFile这类函数HOOK了,确定文件映射的虚拟地址范围。
hook缺页中断,在该中断中对文件映射地址范围内的访问进行过滤。
2009-8-17 09:44
0
雪    币: 40
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
HOOK MiDispatchFault ?
2009-8-17 11:46
0
游客
登录 | 注册 方可回帖
返回
//