刺激战场
六合彩
贵宾厅
  • 1222阅读
  • 1回复

Windows分页管理机制的学习(一)实践1 [复制链接]

上一主题 下一主题
离线啊冲
 

只看楼主 倒序阅读 使用道具 楼主  发表于: 2016-02-04


一)先来针对未开启PAE模式来进行分析


测试机器XP 32位系统:(Dbgview.exe程序的线性(虚拟)地址与物理地址的对应)


这里关闭了PAE模式。

我先用OD载入Dbgview.exe程序,并且运行,
看到程序入口点的线性(虚拟)地址:004153B7==> 00000000 01000001 01010011 10110111

根据INTEL手册中的定义:

进行分段:0000000001    0000010101     001110110111
PDE         PTE           物理偏移



打开WindDbg,查看DebugView EPROCESS==>KPROCESS==>DirectoryTableBase[2]


PDE0000000001==1

值:13ddc067==》物理页面的起始地址:13ddc000

PTE0000010101==21

080a3025==》物理页面起始地址:080a3000加上 物理偏移001110110111==0x3B7

对比OD

机器码是一样的,说明物理内存地址找对了!

接下来修改一下物理内存~~ !eb 080A33B7 80E8随便修改成80看看效果


嘿嘿,修改成功~~~表示地址对应无误!
善者 慈悲心常在 无怨无恨 以苦为乐
默认压缩密码www.hifyl.com
文件分享密码问题:http://www.hifyl.com/read-htm-tid-4444.html
离线v2680267313

只看该作者 沙发  发表于: 2016-04-30
用户被禁言,该主题自动屏蔽!
快速回复
限100 字节
如果您提交过一次失败了,可以用”恢复数据”来恢复帖子内容
 
上一个 下一个