Windows虚拟地址转物理地址（原理+源码实现，附简单小工具）

 

　　　　　                                                                                                      By Lthis

上个月就想写了，一直没时间...网上大概搜了一下，原理与操作倒是一大堆，一直没看到源码实现，总得有人动手，这回轮到我了。东西写得很烂，请大牛勿喷。一直觉得靠源码的方式驱动学习是非常好的一种学习方法，比较直观！声明一下，本教程只有讨论开启PAE与关闭PAE两种，至于PSE是否开启没有管...我的虚拟机默认PSE貌似是开启滴？不知是不是写的小工具有问题....对于x64下的等我有时间再写吧。

东西都上传在压缩包中了，Codes文件夹下是工程源码，Demo文件夹下是测试案例，Tool文件夹放的是小工具的Demo和源码。

我的环境：开发环境（win7 sp1 x64 + vs2013社区版 update5 + wdk8.1）

      测试环境（vm10 + win7 sp1 x86）

一、先说说未开启PAE的情况，祭出intel手册的经典图例：

 

这幅图就是虚拟地址转为物理地址的原理图（4k页面），看图说话，用伪代码描述一下：

 

1.Directory Entry(PDE)     = PDBR[Directory];

 

2.Page-Table Entry(PTE) = PDE + Table * 4;

 

3.Physical Address  = PTE + Offset;

 

由上可知，Linear Address(线性地址)中的Directory和Table其实就是个索引，在未开启PAE的情况下，PDE、PTE均是32bit（4字节，所以要Table*4），以上只是原理上的描述，实际上，PDE、PTE的后3位是属性值，所以需要把后3位抹掉。

 

下边上关键代码，基本都步骤都写了注释了，有需要的可以封装成函数。此外，本段代码只是测试用，写的很不规范，比如，在调用MmMapIoSpace应该调用MmUnMapIoSpace释放内存。

 

            // 得到ring3传入的虚拟地址size_t* pOutAddress = (size_t*)MmGetSystemAddressForMdlSafe(pIrp->MdlAddress, NormalPagePriority);VIRTUAL_ADDRESS virtualAddress = { 0 };virtualAddress.ulVirtualAddress = *pOutAddress;ULONG pdbr;_asm{mov eax,  cr3;mov pdbr, eax;}PHYSICAL_ADDRESS phyAddress = { 0 };phyAddress.LowPart = pdbr;PULONG pPdbr = (PULONG)MmMapIoSpace(phyAddress, sizeof(PHYSICAL_ADDRESS), MmNonCached);KdPrint(("pdbr = 0x%08X, 映射后的地址0x%p\n", pdbr, pPdbr));// pPdbr[ulDirBaseIdx] 页目录项ULONG ulDirBaseIdx = virtualAddress.stVirtualAddress.dirBaseIndex;ULONG ulDirIdx = virtualAddress.stVirtualAddress.dirIndex;KdPrint(("第一级，已找到页目录所在项:pPdbr[%d]:0x%08X", ulDirBaseIdx,pPdbr[ulDirBaseIdx]));ULONG ulDir = pPdbr[ulDirBaseIdx] & 0xFFFFF000;            // 抹去后3位得到真正的页目录项
ULONG ulDirPlus = ulDir + ulDirIdx * 4;                    // 页表项phyAddress.LowPart = ulDirPlus;PULONG pDirPlus = (PULONG)MmMapIoSpace(phyAddress, sizeof(PHYSICAL_ADDRESS), MmNonCached);KdPrint(("第二级，已找到页表项:ulDirPlus = 0x%08X, 映射后的地址0x%p\n", ulDirPlus, pDirPlus));ULONG ulPageTable = *pDirPlus & 0xFFFFF000;                // 抹去后3位得到真正的页表项// 得到物理地址ULONG ulPhyAddress = ulPageTable + virtualAddress.stVirtualAddress.offset;// 映射为虚拟地址，获取其值进行验证phyAddress.LowPart = ulPhyAddress;PWCHAR pPhyAddress = (PWCHAR)MmMapIoSpace(phyAddress, sizeof(PHYSICAL_ADDRESS), MmNonCached);KdPrint(("虚拟地址：0x%08X, 对应物理地址：0x%08X, Value:%S\n", *pOutAddress, ulPhyAddress, pPhyAddress));// 传出对应物理地址*pOutAddress = ulPhyAddress;

 

 

二、开启PAE的情况

 

 

 

同样是4k页面的，伪代码描述如下：

 

1.Dir.Pointer Entry(PDPTE)  = PDPTR[Directory Pointer];

 

2.Director Entry(PDE)  = PDPTE + Directory * 0x8;

 

3.Page-Table Entry(PTE)  = PDE + Table * 0x8;

 

4.Physical Address  = PTE+Offset;

 

在开启PAE的情况下，PDE、PTE均是64bit（8字节，所以要*8），同样PDE、PTE的后3位是属性值，所以需要把后3位抹掉。

 

关键代码如下：

            // 得到传入的ring3层虚拟地址size_t* pOutAddress = (size_t*)MmGetSystemAddressForMdlSafe(pIrp->MdlAddress, NormalPagePriority);VIRTUAL_ADDRESS virtualAddress = { 0 };virtualAddress.ulVirtualAddress = *pOutAddress;ULONG pdbr;// 得到页目录指针物理地址
            _asm{mov eax,  cr3;mov pdbr, eax;}// 映射为虚拟地址以便取值PHYSICAL_ADDRESS phyAddress = { 0 };phyAddress.LowPart = pdbr;PULONG pPdbr = (PULONG)MmMapIoSpace(phyAddress, sizeof(PHYSICAL_ADDRESS), MmNonCached);KdPrint(("pdbr = 0x%08X, 映射后的地址0x%p\n", pdbr, pPdbr));// 定位页目录指针表并获取页目录表物理页地址// ulDirAddress 为页目录表物理页地址ULONG ulPointerIdx = virtualAddress.stVirtualAddress.dirPointer;ULONG ulDirBaseAddress = pPdbr[ulPointerIdx];ulDirBaseAddress &= 0xFFFFF000;            // 中间物理地址// 定位页表项ULONG ulDirAddress = ulDirBaseAddress + virtualAddress.stVirtualAddress.dirIndex * 0x8;phyAddress.LowPart = ulDirAddress;PULONG pPageTable = (PULONG)MmMapIoSpace(phyAddress, sizeof(PHYSICAL_ADDRESS), MmNonCached);ULONG ulPageTable = *pPageTable;ulPageTable &= 0xFFFFF000;                 // 中间物理地址// 定位物理页面ulPageTable += virtualAddress.stVirtualAddress.tableIndex * 0x8;phyAddress.LowPart = ulPageTable;PULONG pPageBase = (PULONG)MmMapIoSpace(phyAddress, sizeof(PHYSICAL_ADDRESS), MmNonCached);ULONG ulPageBase = *pPageBase;ulPageBase &= 0xFFFFF000;// 得到物理地址ULONG ulPhyAddress = ulPageBase + virtualAddress.stVirtualAddress.offset;// 映射为虚拟地址，获取其值进行验证phyAddress.LowPart = ulPhyAddress;PWCHAR pPhyAddress = (PWCHAR)MmMapIoSpace(phyAddress, sizeof(PHYSICAL_ADDRESS), MmNonCached);KdPrint(("虚拟地址：0x%08X, 对应物理地址：0x%08X, Value:%S\n", *pOutAddress, ulPhyAddress, pPhyAddress));// 传出对应物理地址*pOutAddress = ulPhyAddress;pIrp->IoStatus.Information = cout;

以上代码步骤是参考安于此生的文章写的，看不懂的可以先看看安于此生的文章《启用PAE后虚拟地址到物理地址的转换》

另附上小工具源码，该工具用于检测系统是否开启PAE、PSE等。

 

#define BUFFERSIZE    0x3000
char g_szMemInfo[BUFFERSIZE] = { 0 };// 以下code在 DriverEntry 中
    DWORD dwPE  = 0;                // Protection Enable    cr0[0]DWORD dwWP  = 0;                // Write Protect        cr0[16]DWORD dwPG  = 0;                // Paging                cr0[31]DWORD dwPAE = 0;                // 物理地址扩展            cr4[5]DWORD dwPSE = 0;                // Page Size Extension    cr4[4]DWORD dwCr0 = 0;DWORD dwCr4 = 0;// 注册卸载函数pDriverObj->DriverUnload = driverUnload;_asm{pushad;mov eax, cr0;mov dwCr0, eax;// PE标志位and eax, 0x01;mov dwPE, eax;mov eax, cr0;// WP标志位and eax, 0x10000;mov dwWP, eax;mov eax, cr0;// PG标志位and eax, 0x80000000;mov dwPG, eax;// PAE//mov eax, cr4; 机器码如下_emit 0x0F;_emit 0x20;_emit 0xE0;mov dwCr4, eax;and eax, 0x20;mov dwPAE, eax;// PSE_emit 0x0F;_emit 0x20;_emit 0xE0;and eax, 0x10;mov dwPSE, eax;popad;}KdPrint(("PE  = 0x%08X\r\n",dwPE));KdPrint(("WP  = 0x%08X\r\n",dwWP));KdPrint(("PG  = 0x%08X\r\n",dwPG));KdPrint(("PAE = 0x%08X\r\n",dwPAE));KdPrint(("PSE = 0x%08X\r\n",dwPSE));KdPrint(("Cr0 = 0x%08X\r\n",dwCr0));KdPrint(("Cr4 = 0x%08X\r\n",dwCr4));//----------------------------------------------------------------------------// PE标志位if (0 != dwPE){RtlStringCchCatNA(g_szMemInfo, BUFFERSIZE, "----------------------保护模式(PE=1)-------------------\r\n",BUFFERSIZE - sizeof("----------------------保护模式(PE=1)-------------------\r\n"));}else{RtlStringCchCatNA(g_szMemInfo,BUFFERSIZE ,"----------------------实地址模式(PE=0)-------------------\r\n",BUFFERSIZE - sizeof("----------------------实地址模式(PE=0)-------------------\r\n"));}//----------------------------------------------------------------------------// WP标志位if (0 != dwWP){RtlStringCchCatA(g_szMemInfo,BUFFERSIZE,"内存写保护(WP)开启...\r\n");}else{RtlStringCchCatA(g_szMemInfo,BUFFERSIZE,"内存写保护(WP)禁止...\r\n");}//----------------------------------------------------------------------------// PG标志位if (0 != dwPG){RtlStringCchCatA(g_szMemInfo,BUFFERSIZE,"页机制(PG)启用\r\n");}else{RtlStringCchCatA(g_szMemInfo,BUFFERSIZE,"页机制(PG)禁止\r\n");}//----------------------------------------------------------------------------// PAE标志位if (0 != dwPAE){RtlStringCchCatA(g_szMemInfo,BUFFERSIZE,"物理地址扩展(PAE)已开启\r\n");}else{RtlStringCchCatA(g_szMemInfo,BUFFERSIZE,"物理地址扩展(PAE)未启用\r\n");}//----------------------------------------------------------------------------// PSE标志位if (0 != dwPSE){RtlStringCchCatA(g_szMemInfo,BUFFERSIZE,"页面大小扩展(PSE)已开启\r\n");}else{RtlStringCchCatA(g_szMemInfo,BUFFERSIZE,"页面大小扩展(PSE)未启用\r\n");}KdPrint(("%s\r\n", g_szMemInfo));

 

最后，看看效果运行图。Demo是在ring3层定义一个Unicoe字符串：“Lthis”,然后将其虚拟地址传入ring0层，ring0解析后传出对应的物理地址。

开启PAE下运行的效果：

 

 

 

 

未开启PAE的运行效果：

 

附件地址：链接：http://pan.baidu.com/s/1kTENdnL 密码：g5j7

 

转载于:https://www.cnblogs.com/Lthis/p/4746795.html

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/397647.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

python装饰器的使用

python装饰器的使用

借用装饰器，我们可以批量的对老的函数进行改造或扩展老函数功能，比如需要对函数的接收参数进行过滤，Flash的url路由功能就是使用的这个方式 def dropoushu(): # 这一层函数可以去掉，如果去掉了，则使用checkjiou这种方…
阅读更多...
7_文件上传漏洞

7_文件上传漏洞

文件上传漏洞 当文件上传时，若服务端脚本语言未对上传的文件进行严格验证和过滤，若恶意用户上传恶意的脚本文件时，就有可能控制整个网站甚至是服务器，这就是文件上传漏洞。 权限 1.网站后台权限：登陆了后台&#xff0…
阅读更多...
mysql数据库如何实现分页查询_不同数据库的分页查询实现方法总结

mysql数据库如何实现分页查询_不同数据库的分页查询实现方法总结

分页查询是数据库查询中经常用到的一项操作，对查询出来的结果进行分页查询可以方便浏览。那么Oracle、SQL Server、MySQL是如何实现查询的呢？本文我们就来介绍这一部分内容。首先我们先看一下SQL Server 数据库中SQL语句查询分页数据的解决方案&#xff…
阅读更多...
POJ - 3842 An Industrial Spy dfs(水)

POJ - 3842 An Industrial Spy dfs(水)

题意:给你一串数字，最少一个，最多七个，问用这里面的数字能组成多少素数，不重复。 思路：之前还遍历10000000的每一个素数，结果超时，后来发现直接dfs就可以了，只是标记一下做过的数。 …
阅读更多...
飞机大战小游戏1.0版本

飞机大战小游戏1.0版本

小时候大家应该都玩过飞机大战吧，这就是仿的一个飞机大战，但是没有写的很全，只能玩一次，死掉之后需要刷新页面玩第二次，话不说多，上代码： 初始页面： 整个的html代码还是很少&#xf…
阅读更多...
记一次Jquery获取值的典型错误

记一次Jquery获取值的典型错误

直接上代码： 代码很简单，通过Post的形式提交参数，但是发现提交的data总是空，昨晚有点纳闷，今天一看才发现。。。 获取值得时候的顺序有问题，获取值应该是在onclick事件中。 综上：写Jquery的时间…
阅读更多...
android 调用java接口_android调用java的web service接口

android 调用java接口_android调用java的web service接口

android中通过webservice调用服务器端其实还是很简单的，只要按部就班的按照下面步骤进行即可：(1)创建HttpTransportSE对象，该对象用于调用WebService操作代码如下:HttpTransportSE ht new HttpTransportSE(SERVICE_URL);(2)创建SoapSerializ…
阅读更多...
iOS： TableView如何刷新指定的cell 或section

iOS： TableView如何刷新指定的cell 或section

/一个section刷新 NSIndexSet *indexSet[[NSIndexSet alloc]initWithIndex:2]; [tableview reloadSections:indexSet withRowAnimation:UITableViewRowAnimationAutomatic]; //一个cell刷新 NSIndexPath *indexPath[NSIndexPath indexPathForRow:3 inSection:0…
阅读更多...
Skype For Business 2015实战系列14：创建Office Web App服务器场

Skype For Business 2015实战系列14：创建Office Web App服务器场

Skype For Business 2015实战系列14：创建Office Web App服务器场前面的操作中我们已经成功的安装了Office Web App Server，今天我们将创建Office Web App服务器场。具体步骤如下:配置证书：登陆到OWA服务器,打开服务器管理器，点击“…
阅读更多...
https://cwiki.apache.org/confluence/display/FLINK/FLIP-24+-+SQL+Client

https://cwiki.apache.org/confluence/display/FLINK/FLIP-24+-+SQL+Client

https://cwiki.apache.org/confluence/display/FLINK/FLIP-24-SQLClient转载于:https://www.cnblogs.com/WCFGROUP/p/9214589.html
阅读更多...
java ee me se_java EE ME SE有什么关系

java ee me se_java EE ME SE有什么关系

1. Java SE(Java Platform，Standard Edition)。Java SE 以前称为 J2SE。它允许开发和部署在桌面、服务器、嵌入式环境和实时环境中使用的 Java 应用程序。Java SE 包含了支持 Java Web 服务开发的类，为 Java Platform，Enterprise Edition(Jav…
阅读更多...
Android第三夜

Android第三夜

Paint的设置方法 setAntiAlias：这是画笔的锯齿效 setColor setARGB setAlpha setTextSize setStyle setStrokeWidth getColor getAlpha Canvas绘制常见图形的方法 1，绘制直线 左上角是0.0点 drawLine(float startX,float startY,float stopX,float stopY…
阅读更多...
JavaScript websocket 实例

JavaScript websocket 实例

实例: 即时通讯聊天室demo可以打开两个页面互相发送消息查看。 websocket.js /* 判断浏览器是否内置了websocket */if (WebSocket in window) {websocket new WebSocket(ws://180.76.144.202:19910/websocket);}websocket->onerror onerror;websocket->onopen onopen…
阅读更多...
SQL Server 2008 基础

SQL Server 2008 基础

SQL Server 2008 基础SQL流程TDS是一种协议，一系列描述两个计算机间如何传输数据的规则。象别的协议一样，它定义了传输信息的类型和他们传输的顺序。总之，协议描述了“线上的位”，即数据如何流动。表格数据流协议是建立在TCP/IP N…
阅读更多...
python异步处理请求_如何一次在python中发送异步http请求？

python异步处理请求_如何一次在python中发送异步http请求？

1)创建一个Queue.Queue对象2)根据您的喜好制作尽可能多的“工作”线程,从Queue.Queue读取3)将作业提供给Queue.Queue工作线程将按照它们放置的顺序读取Queue.Queue从文件中读取行并将它们放入Queue.Queue的示例import sysimport urllib2import urllibfrom Queue import Queueim…
阅读更多...
如何通过Git GUI将自己本地的项目上传至Github

如何通过Git GUI将自己本地的项目上传至Github

ithud是一个程序员以后成长都会使用到的，先不说很多优秀的开源框架都在这上面发布，光是用来管理自己的demo都已经让人感到很方便，用得也很顺畅。而真正让我下定决心使用github的原因是因为两次误操作，将自己所有的学习demo全都删除…
阅读更多...
lucene解决全文检索word2003，word2007的办法

lucene解决全文检索word2003，word2007的办法

在上一篇文章中 ，lucene只能全文检索word2003，无法检索2007，并且只能加载部分内容，无法加载全文内容。为解决此问题，找到了如下方法 POI 读取word (word 2003 和 word 2007) 最近在给客户做系统的时候，用户…
阅读更多...
【JSP笔记】第三章 JSP内置对象【上】

【JSP笔记】第三章 JSP内置对象【上】

2019独角兽企业重金招聘Python工程师标准>>> 1.内置对象简介&#xff1a;JSP内置对象是WEB容器创建的一组对象&#xff0c;不使用new关键就可以是用的对象。 <% out.println(123); %> 2.九大内置对象&#xff1a; outrequestresponsesessionapplication Page …
阅读更多...
自定义标签 —— 实现时间转换和输出功能

自定义标签 —— 实现时间转换和输出功能

第一步&#xff1a;导入jar包 jsp-api-2.2-sources.jar <!-- https://mvnrepository.com/artifact/javax.servlet.jsp/jsp-api --> <dependency><groupId>javax.servlet.jsp</groupId><artifactId>jsp-api</artifactId><version>2.…
阅读更多...
laravel5 centos6.4下的配置体验

laravel5 centos6.4下的配置体验

1. 安装lmnp环境: nginx version: nginx/1.6.0、 php 5.5.7 、 centos6.42. laravel-v5.1.4 一键安装包&#xff0c;在使用composer 安装时出现server 500的错误&#xff0c;改用了一键安装包注意&#xff1a;1. 防火墙的端口的&#xff0c; 2. laravel目录的用户权限&#xff…
阅读更多...
最新文章

Copyright @ 2022~2023