强制读写进程内存的一点研究成果

马大哈 · 发表于 2010-11-25 18:09:26

回复 Lgc小孩修电脑的帖子

呃.......确实好久木来了- -!!

Lgc小孩修电脑 · 发表于 2010-11-25 18:38:56

回复 ok100fen 的帖子

不知道你在说了么...
内存空间不能跨进程访问的原因主要在于不同进程都有自己的页目录和页表。进程切换的很大一块也就是切换掉页目录。
每个Windows进程都有一个相对应的执行体进程EPROCESS,也就是里面存有很多信息啦
比如进程的许多属性, 还有指针
nt!_KPROCESS
+0x000 Header          : _DISPATCHER_HEADER
+0x010 ProfileListHead  : _LIST_ENTRY
+0x018 DirectoryTableBase : [2] Uint4B

DirectoryTableBase[0]放的就是页目录,DirectoryTableBase[1]就是页表了

系统就是根据这里的页表和页目录来进行虚拟内存转换...只要我们在这里做个手脚{:3_52:}

比如我想写（破坏进程内存）要结束进程的内存，只需要把那个进程的DirectoryTableBase改成跟这个一样，然后直接写那个进程的内存就搞定了.....
修改傀儡进程的EPROCESS.Pcb.DirectoryTableBase[0]跟EPROCESS.Pcb.DirectoryTableBase[1]为目标进程的内容
然后你破坏僵尸内存的同时也破坏了你要结束的那个进程的内存

ok100fen · 发表于 2010-11-25 20:50:29

你说的关于“页表和页目录”的知识在哪有？

是关于什么方面的书？

Tesla.Angela · 发表于 2010-11-26 00:01:20

回复 ok100fen 的帖子

书在这里：http://www.m5home.com/bbs/forum.php?mod=viewthread&tid=4708&extra=page%3D1
不过是全英文的。

ydj404606848 · 发表于 2010-11-26 10:42:39

膜拜先

Tesla.Angela · 发表于 2010-11-26 16:24:12

回复 ydj404606848 的帖子

没神马好膜拜的。。。你发点源码，或者发点科普文章，就可以下载了。

ipaddress8086 · 发表于 2010-12-8 17:37:08

本帖最后由 ipaddress8086 于 2010-12-8 17:52 编辑

谢谢 Tesla.Angela 管理员我下载这附件但好像 Firefox 浏览器好像不能下载附件要用IE6才能所以大家下载时候要换浏览器

324190121 · 发表于 2011-2-19 13:17:42

看看权限够不够先

Xor · 发表于 2011-2-20 17:01:38

这个好，顶了！

太寂寞 · 发表于 2011-3-16 13:42:30

阅读权限太高了撒

lyl2523 · 发表于 2011-10-22 22:53:01

没钱下载啊。。。。。:L

basketwill · 发表于 2011-11-11 09:15:06

貌似不错啊

a627414850 · 发表于 2011-11-14 22:42:02

牛人也多，菜菜也多！！！{:soso_e146:}

Cbx · 发表于 2011-11-15 16:09:26

麻烦给我发份 deviceobject@gmail.com

346022142 · 发表于 2011-12-15 19:45:14

看看我买得起吗

bingle · 发表于 2011-12-16 16:11:31

看看怎么个绕过的法子哦呵呵呵

dico · 发表于 2012-1-24 19:31:07

这个要用驱动么？支持64位么

LZJzhu · 发表于 2012-1-28 23:18:39

和CR3 的方法应该是异曲同工吧

kxgsmk99 · 发表于 2012-2-19 15:28:15

好东西要顶一下的不要走人哦

kxgsmk99 · 发表于 2012-2-19 16:32:28

好东西就看看啊

wangweillll · 发表于 2012-3-18 18:04:08

学习了

布娃娃 · 发表于 2012-3-18 20:43:29

看不懂啊{:soso_e109:}

qwerasdf · 发表于 2012-4-14 11:55:31

都怪老妈生的晚，来晚了，学习学习，

WG102514 · 发表于 2012-4-18 22:55:00

顶顶！！！！！！！！！！！！！！

zerovos · 发表于 2013-1-5 22:46:51

买了，穷啊，顶一下再说

DevilLiao · 发表于 2013-1-5 22:53:23

楼主厉害啊

shuxuliang · 发表于 2014-2-9 15:28:27

虽然没有下载附件但是大体知道什么原理了。。

shuxuliang · 发表于 2014-2-9 15:29:42

X64应该也可以用同样的方式实现把？

qq503407184 · 发表于 2014-6-14 22:38:47

膜拜

wonderzdh · 发表于 2015-3-9 18:07:04

这是32位的吧，下载来看看，谢谢楼主。

upring · 发表于 2015-4-30 10:52:01

源代码真不错{:soso_e195:}

rtfkill · 发表于 2016-11-24 20:49:02

32位的下载学习学习，还是小白看看

账号		自动登录	找回密码
密码			加入我们

强制读写进程内存的一点研究成果

论坛牛人

贡献奖

关注奖

最佳版主

进步奖

人气王

疯狂作品奖

精英奖

赞助论坛勋章

乐于助人勋章