X64下MmIsAddressValid的逆向及内存寻址解析
作 者: 普通朋友
时 间: 2015-10-21,20:03:52
链 接: http://bbs.pediy.com/showthread.php?t=205143
在内核编程时，经常会用到MmIsAddressValid来检测地址是否有效，结合之前学过的虚拟地址到物理地址之间的转化，所以发一篇对该函数的逆向以及代码还原，x86的资料论坛以及网络有很多了，所以这里楼主只谈一下Win7 x64下的MmIsAddressValid过程分析
要检测地址是否有效以及逆向MmIsAddressValid，还是得先从 x64下线性地址的格式入手
为了方便起见，楼主只说一下最普通的4k分页的情况，其他的可以举一反三
从这张图上，可以看到虽然线性地址有64位，但实际只用了48位，高16位其实是符号拓展位， 根据这高16位也可以做一个简单的内存地址是否有效判断（后面逆向会谈到）
从上面这张图，可以看到线性地址被拆开成了五个部分, 还有四张表分别是:
PML4T : 大小为4k ,每项8 字节 ，每一项指向PDPT的首地址
PDPT : 大小为4k ,每项8 字节 , 每一项指向PD的首地址
PD : 大小为4k ,每项8 字节 , 每一项指向PT的首地址
PT: 大小为4k ,每项8 字节 , 每一项存放一个物理页
如果从编程的角度来说，这四张表其实就是四个数组，数组的每一项可以看做是一个指针
线性地址被拆开成了五个部分，前四个部分都可以看做是数组的下标
举个例子，比如线性地址的39-47位，可以看做是一个Pml4t的下标Index，那么在代码里相当于
Pml4t[Index * 8]这样的寻址
其他的数组的访问依此类推
最后在PT的数组里找到物理页后，再加上线性地址的低12位，便是最终的物理地址
上面这张图是每一张表项的结构图，其中比较重要的是第0位，也就是P位，用于检测所指的页面或页表当前是否加载到了物理存储器中 ，p = 0即为无效
了解了理论，再来手工解析一下
随便写一个程序如下：
字符串地址在0000000140092000
字符串内容是NoteBook
首先，对该虚拟地址做一个格式转化
0 101 000000000 010010010 000000000000
0 5 0 0x92 0
由低到高分成了五个部分，前四个是四个数组的下标，最后的0是偏移
第一步，找到该进程的CR3的值，也就是第一个表PML4T的首地址
地址在4e37b000 处 ,注意，该地址是物理地址 ，并且根据格式，低十二位需要清0
第二步，找到该进程PDPT 的首地址，根据之前的下标，得到在PML4T[0]处:
对齐后，PDPT的首地址在4d1cc000处
第三步，找到该进程PDT的首地址，根据之前的下标，得到在PDPT [5]处:
对齐后，PDT的首地址在4d8cd000处
第四步，找到该进程PT的首地址，根据之前的下标，得到在PDT [0]处:
对齐后，PT的首地址在4de4e000处
第五步，找到对应的物理页，根据之前的下标，得到在PT[0x92]处:
对齐后，数据物理页在4cdfa000处
最后一步，得到完整的物理地址:
和程序中的字符串内容一样
说了这么多，进入逆向MmIsAddressValid
.text:00000001400AD930 _MmIsAddressValid proc near .text:000000014000FB6E
.text:00000001400AD930
.text:00000001400AD930 mov rax, rcx
.text:00000001400AD933 sar rax, 48
;取得线性地址的 高16位
.text:00000001400AD937 inc rax
.text:00000001400AD93A cmp rax, 1
.text:00000001400AD93E ja loc_1400AD9D3
; 高16位要么全0, 要么全1 ，加一后大于1则不合法，直接返回false
.text:00000001400AD944 mov rax, rcx
.text:00000001400AD947 mov rdx, 0FFFFF6FB7DBED000h
; PML4T 的虚拟地址
.text:00000001400AD951 shr rax, 39
; 将虚拟地址右移39位
.text:00000001400AD955 and eax, 1FFh
; 拿到pml4数组的下标
.text:00000001400AD95A test byte ptr [rdx+rax*8], 1
; 检测PML4T项p位
.text:00000001400AD95E jz short loc_1400AD9D3
; p=0 则直接返回false
.text:00000001400AD960 mov rax, rcx
.text:00000001400AD963 mov rdx, 0FFFFF6FB7DA00000h
.text:00000001400AD96D shr rax, 27
; 右移30位 ，再 乘 8 ,相当于右移27位
.text:00000001400AD971 and eax, 1FFFF8h
; 8字节对齐 得到PDPT的偏移
.text:00000001400AD976 test byte ptr [rax+rdx], 1
; 检测PDPT项的p位 rax+rdx=PDPT的首地址
.text:00000001400AD97A jz short loc_1400AD9D3
.text:00000001400AD97C mov rdx, -0FFFFF6FB40000000h
.text:00000001400AD986 mov rax, rcx
.text:00000001400AD989 shr rax, 18
; 右移21位，再乘8 ,相当于右移18位
.text:00000001400AD98D and eax, 3FFFFFF8h
;得到PDT的偏移
.text:00000001400AD992 sub rax, rdx
; rax = rax + 0FFFFF6FB40000000h
.text:00000001400AD995 mov rdx, [rax]
;此时rax指向PDT中的 某一项
.text:00000001400AD998 test dl, 1
; 检测PDT项p位
.text:00000001400AD99B jz short loc_1400AD9D3
.text:00000001400AD99D test dl, dl
.text:00000001400AD99F js short loc_1400AD9D6
; 是否开启PSE,是的话直接返回真
.text:00000001400AD9A1 shr rcx, 9
; 右移12位,再乘 8 ,相当于右移9位
.text:00000001400AD9A5 mov rax, 7FFFFFFFF8h ; 8字节对齐
.text:00000001400AD9AF and rcx, rax
.text:00000001400AD9B2 mov rax, -0FFFFF68000000000h
.text:00000001400AD9BC sub rcx, rax
.text:00000001400AD9BF mov rax, [rcx]
;此时RCX指向PT的的某一项
.text:00000001400AD9C2 test al, 1
.text:00000001400AD9C4 jz short loc_1400AD9D3
; 检测PT项的P位
.text:00000001400AD9C6 mov r8b, 80h
.text:00000001400AD9C9 and al, r8b
.text:00000001400AD9CC cmp al, r8b
.text:00000001400AD9CF setnz al
; 检测PT项的PAT位是否存在，不存在返回真
.text:00000001400AD9D2 retn
.text:00000001400AD9D3 ; ---------------------------------------------------------------------------
.text:00000001400AD9D3
.text:00000001400AD9D3 loc_1400AD9D3:
.text:00000001400AD9D3
.text:00000001400AD9D3 xor al, al
.text:00000001400AD9D5 retn
.text:00000001400AD9D6 ; ---------------------------------------------------------------------------
.text:00000001400AD9D6
.text:00000001400AD9D6 loc_1400AD9D6: _
.text:00000001400AD9D6 mov al, 1
.text:00000001400AD9D8 retn
.text:00000001400AD9D8 _MmIsAddressValid endp
可以看出，函数也是将线性地址进行了拆分，取得表中每一项的值后，依次进行判断 ，主要是针对P位
将以上代码做一个等价还原后如下：
bool _MmIsAddressValid(void *pAddress)
{
BYTE* pMl4e = (BYTE *)0x0FFFFF6FB7DBED000;
BYTE* pDPTE = (BYTE *)0x0FFFFF6FB7DA00000;
BYTE* pDE = (BYTE *)0x0FFFFF6FB40000000;
BYTE* pTE = (BYTE *)0x0FFFFF68000000000;
BYTE* curItem;
ULONG_PTR ulAddress = (ULONG_PTR)pAddress;
ulAddress = ((LONG_PTR)ulAddress>>48) + 1;
if (ulAddress <= 1) //只要是合法地址，必然不会超过1
{
ulAddress = (ULONG_PTR)pAddress;
ulAddress = ulAddress >> 39;
ulAddress = ulAddress & 0x1ff;
if ((pMl4e[ulAddress * 8] & 1) == 0) //检测pMl4T项的P位
return false;
ulAddress = (ULONG_PTR)pAddress;
ulAddress = (ulAddress >> 30) << 3;
ulAddress = ulAddress & 0x1FFFF8;
if ((pDPTE[ulAddress] & 1) == 0) //检测PDPT项的P位
return false;
ulAddress = (ULONG_PTR)pAddress;
ulAddress = (ulAddress >> 21) << 3;
ulAddress = ulAddress & 0x3FFFFFF8;
curItem = pDE + ulAddress;
if ((*(LONG_PTR*)curItem & 1) == 0) //检测PDT项的P位
return false;
if ((*(LONG_PTR*)curItem & 0xff) >= 0) //PDT的PSE被置位，直接返回TRUE (2mb分页)
{
ulAddress = (ULONG_PTR)pAddress;
ulAddress = (ulAddress >> 12) << 3;
ulAddress = ulAddress & 0x7FFFFFFFF8;
curItem = pTE + ulAddress;
if ((*(LONG_PTR*)curItem & 1) == 0) //检测PT项的P位
return false;
char itemTmp = (char)*(LONG_PTR*)curItem;
itemTmp = itemTmp & 0x80;
return (itemTmp == (char)0x80) ? false : true; //检测PT项的PAT位
}else
return true;
}
return false;
}
jpg 改 rar
X64下MmIsAddressValid的逆向及内存寻址解析的更多相关文章
- x64 结构体系下的内存寻址
欢迎转载,转载请注明出处:http://www.cnblogs.com/lanrenxinxin/p/4735027.html 在阅读NewBluePill源码的时候,看内存的那一块简直头疼,全是x6 ...
- X64下的虚拟地址到物理地址的转换
https://bbs.pediy.com/thread-203391.htm 早就知道传上来排版会全乱掉,把pdf直接传上来吧 x64结构体系寻址.pdf 发现安大的关于x86启用PAE下的虚拟 ...
- Linux内存寻址之分页机制
在上一篇文章Linux内存寻址之分段机制中,我们了解逻辑地址通过分段机制转换为线性地址的过程.下面,我们就来看看更加重要和复杂的分页机制. 分页机制在段机制之后进行,以完成线性—物理地址的转换过程.段 ...
- Linux内存寻址之分段机制
前言 最近在学习Linux内核,读到<深入理解Linux内核>的内存寻址一章.原本以为自己对分段分页机制已经理解了,结果发现其实是一知半解.于是,查找了很多资料,最终理顺了内存寻址的知识. ...
- 如何打开Windows Server 2003 内存寻址扩展
本文介绍了如何在系统内存大于4G的情况下,让windows2003 Advanced Server支持大内存的方法: 由于Windows2003 32bit是32位操作系统,当服务器配备内存高达4G时 ...
- [原创]MinHook测试与分析(x64下 E9,EB,CALL指令测试，且逆推测试微软热补丁)
依稀记得第一次接触Hook的概念是在周伟民先生的书中-><<多任务下的数据结构与算法>>,当时觉得Hook很奇妙,有机会要学习到,正好近段日子找来了MiniHook,就一 ...
- Linux内核源码分析 day01——内存寻址
前言 Linux内核源码分析 Antz系统编写已经开始了内核部分了,在编写时同时也参考学习一点Linux内核知识. 自制Antz操作系统 一个自制的操作系统,Antz .半图形化半命令式系统,同时嵌入 ...
- 80x86的内存寻址机制
80x86的内存寻址机制 80386处理器的工作模式: 模式. 模式之间可以相互转换,而模式之间不可以相互转换. DOS系统运行于实模式下,Windows系统运行与保护模式下. 实模式: 80386处 ...
- Linux内存寻址之分段机制及分页机制【转】
前言 本文涉及的硬件平台是X86,如果是其他平台的话,如ARM,是会使用到MMU,但是没有使用到分段机制: 最近在学习Linux内核,读到<深入理解Linux内核>的内存寻址一章.原本以为 ...
随机推荐
- POJ 2051
http://poj.org/problem?id=2051 这个题目的大题意思就是给你一些ID,和ID所对应的周期,每隔它所对应的周期,它的任务就会执行,就会输出所对应的ID Register 20 ...
- jquery若干问题
1.获取服务器端的控件 $("#<%=photopath.ClientID%>").uploadPreview({ Img: "ImgPr", Wi ...
- SAP打印出库单需求
*&---------------------------------------------------------------------* *& Report Z_SD_CKD ...
- Luncence .Net 使用
public partial class Form1 : Form { public Form1() { InitializeComponent(); } //标准分词 private void bu ...
- 最牛逼android上的图表库MpChart（二） 折线图
最牛逼android上的图表库MpChart二 折线图 MpChart折线图介绍 MpChart折线图实例 MpChart效果 最牛逼android上的图表库MpChart(二) 折线图 最近工作中, ...
- 【leetcode】Best Time to Buy and Sell (easy)
题目: Say you have an array for which the ith element is the price of a given stock on day i. If you w ...
- LeetCode 231 Power of Two
Problem: Given an integer, write a function to determine if it is a power of two. Summary: 判断一个数n是不是 ...
- 解决svn迁移过程中出现：SVN Error: is not the same repository as的问题
一.背景 由于公司业务的需要,新购买了一批机器,那么面临着的就是svn等一系列东西进行迁移的问题,在svn迁移以后,本地的svn代码在切换时出现了SVN Error: 旧服务器地址 is not th ...
- supersr--图片轮播逻辑
// // ViewController.m // 图片轮播 // // Created by apple on 14-5-18. // Copyright (c) 2014年 All rig ...
- 备忘zookeeper(单机+伪集群+集群)
#下载: #单机模式 解压到合适目录. 进入zookeeper目录下的conf子目录, 复制zoo_sample.cfg-->zoo.cfg(如果没有data和logs就新建):tickTime ...