直接内存搜枚举内存的原理和实现.docVIP

直接内存有哪些信誉好的足球投注网站枚举内存的原理和实现 在 5.x 的内核中，进程的 EPROCESS 往往存放于 MmSystemRangeStart 至 System 所属 PROCESS 地址之间。? 其中 MmSystemRangeStart 是一个内核导出的常量，在 32 位标准内存模式下，他的值为 而在 PAE 模式的系统中，这个值为 0xC0000000。对于 System 所属 EPROCESS地址，可以通过驱动加载时 PsGetCurrentProcess()获取，因为驱动的加载任务是在 system 进 中完成的。? 在上述区间的具体取值确定下来后， 接着就是要确定是否某一块内存片断是一个有效的 PROCESS 结构。? 在此首先需要确定 EPROCESS 在当前系统的表示。可以使用 WinDbg 的如下命令获取：? kddt _eprocess 下面摘录 winXP环境中 EPROCESS 的定义片断1 ：? t!_EPROCESS +0x000 Pcb : _KPROCESS +0x06c ProcessLock : _EX_PUSH_LOCK +0x070 CreateTime : _LARGE_INTEGER +0x078 ExitTime : _LARGE_INTEGER +0x080 RundownProtect : _EX_RUNDOWN_REF +0x084 UniqueProcessId : Ptr32 Void +0x088 ActiveProcessLinks : _LIST_ENTRY +0x090 QuotaUsage : [3] Uint4B +0x09c QuotaPeak : [3] Uint4B /… 结构片断：EPROCESS的定义? 这个结构在 WinXP中的大小是 0x25C，可以从上面的代码片断中看出，许多信息，比如 创建等都可以直接在这个结构体中获取。? 为了验证一个 EPROCESS 是否合法，需要考虑下面几个字段的数据：? 0x078 ExitTime : _LARGE_INTEGER 0x1b0 Peb : Ptr32 _PEB ?? 中，ExitTime 记录了该进程的退出时间。对于正在运行的进程，该项属性将永远为 0。 peb 指向进程环境块的指针，在所有 EPROCESS 中，该数据区的高 16 位应该相同。? 除了这2项判断依据外， 还可以根据包装EPROCESS的OBJECT_HEADER结构来作出判断。 OBJECT_HEADER 结构的定义如下：? t!_OBJECT_HEADER +0x000 PointerCount : Int4B +0x004 HandleCount : Int4B +0x004 NextToFree : Ptr32 Void +0x008 Type : Ptr32 _OBJECT_TYPE +0x00c NameInfoOffset : UChar +0x00d HandleInfoOffset : UChar +0x00e QuotaInfoOffset : UChar +0x00f Flags : UChar +0x010 ObjectCreateInfo : Ptr32 _OBJECT_CREATE_INFORMATION +0x010 QuotaBlockCharged : Ptr32 Void +0x014 SecurityDescriptor : Ptr32 Void +0x018 Body : _QUAD 结构定义：OBJECT_HEADER?? 这个结构表示了一个内核对象， 他出现于任何内核对象结构的头部， 也包括了 EPROCESS头部。其中我们感兴趣的数据域是：? +0x008 Type : Ptr32 _OBJECT_TYPE ?? ? 该指针指向了一个标示对象类别的结构体，所有 EPROCESS 结构外层的 OBJECT_HEADER 结构中，这项属性值应该相同。? ? ? 通过上述分析，通过有哪些信誉好的足球投注网站内存枚举进程的流程如下：? 1) 从 MmSystemRangeStart至 SYSTEM 进程 EPROCESS 地址依次有哪些信誉好的足球投注网站? 2) 将当前地址赋值给一个 EPROCESS