首先要说明的是我一般在汇编区活动,但考虑到客观人气问题,所以发到这里,这篇
文章的目的在于想结识一些有同好的朋友一起探讨,完整包括图片的文章可以到我
的blog(hopy.blogchina.com)观赏。另外如有不如何错误请多多指正,不胜感谢。
Windows 核心编程研究系列之一
-改 变 进 程 PTE 属 性-
这是我研究windows 核心编程的第一篇正式文章,之所以叫核心编程而不叫
内核编程,是我觉得从字面上来看核心(core)比内核(kernel)更靠近windows中心,
当然只是偶本人的看法的拉。
我们知道在 win NT 中,系统把每个进程的虚拟4G空间分为两大部份,低2G
归用户所有,高2G归系统所有。用户不得访问系统的空间,连读都不行,更别说
写了!
低2G的用户空间也并不是都能写入的。现在我要说一个特殊的区域:在每个
进程虚拟地址 0x7ffe0000 开始的一段空间称为 USER_SHARED 区域,他和虚拟
地址空间0xffdf0000指向同一物理地址空间,这片区域的长度为 0x2d8。所以不
同进程的这一虚拟地址空间被映射到同一个物理地址空间,如果可以写入该区域
就可以实现系统中所有进程共享数据的目的,注意是所有进程!但可惜的是虽然
0x7ffe0000在低2G的空间,归用户所有,但它只能读不能写。
很不爽哦!我前不久在网上看到一篇可以读写物理内存的文章,其实现的思想是:
1 通过系统特权API取得 System Object PhysicalMemory 的写权限;
2 通过分析 MmGetPhysicalAddress 写出其在 ring3 下的伪代码,
从而得到任意虚拟地址映射的实际物理地址
3 写入物理地址
我用汇编重写后好像不能实现其目的,编译运行原来VC++代码也不成功。但据作者
说他可以运行成功。因为这篇文章写得较早,我怀疑是 windows 在后来的PACK中关
闭了这个通道。但只是猜测,也不排除还有我未考虑到的因素,希望搞成功过的朋友
谈谈具体的过程。
我实现的是另一种方法,其主要思想是:
1 找到该虚拟地址在进程页表中的位置;
2 将对应页表项第2位改为1
每个进程的页表被映射到其虚拟地址空间的 0xc0000000 – 0xc003fffff 空间中。
经过简单的计算后得到其页表项位置为:0xc0000000 + 0x1FFF80 = 0xC01FFF80 察看
其内容如图2所示,其最低3位决定了它存在,属于用户区域,但是只读不能写入!
图2
我们下面要做的也非常简单,就是打开其写入标志,使其可写。
就是将 0x25 改为 0x27 。关键代码如下:
mov ebx,0c01fff80h
mov edx,[ebx]
mov al,27h
mov byte ptr [ebx],al
mov eax,cr3
mov cr3,eax
通过一个 kernel driver 注入,修改成功。下面就是在ring3中修改 0x7ffe0080
的内容,以下是代码:
mov ebx,7ffe0080h
mov eax,12345678h
mov dword ptr [ebx],eax
执行结果可以用任意ring3调试器来证实,就是在调试任意程序时察看其进程地址
0x7ffe0080都会发现其值被改为 0x12345678。图3是验证情况。
图3
到这里貌似可以告一段落了,但是还有更值得挖掘的东西,那就是在ring3种直接改写
高2GB的系统内核区域,下面马上将给出的是就是关于改写0x80000000 – 0xffffffff
内核区域的方法,敬请期待。
OK,让我们进入这一部分,其实有了上面的基础,这个就变得轻而易举了。但是要注意的是:
1 要改写的 0x80000000 – 0xffffffff 区域属于内核,可能
搞不要就要ODBS;
2 要修改的不单单是 PTE 还有 页目录表项
现在我们选择写入的位置,上面说过的 0xffdf0000 ~ 0xffdf02d8 是个不错的选择,因为除了开头一段最好别碰以外,后面都是“自由”区域,写入因该没什么问题。我们首先
图4
要确定修改的页目录项的位置,它可以通过 0xc03000000 + 0xffc 算出等于 0xc0300ffc,如图4,将63改为67。然后再找到
页表项的位置,通过 0xc0000000 + 0x3FF7C0 = 0xC03FF7C0,同样的要将63改为67,关键代码为:
mov ebx,0C0300FFCh
mov edx,[ebx]
mov al,67h
mov byte ptr [ebx],al
mov eax,cr3
mov cr3,eax
mov ebx,0C03FF7C0h
mov edx,[ebx]
mov al,67h
mov byte ptr [ebx],al
mov edx,[ebx]
mov eax,cr3
mov cr3,eax
That’s All Right !!!,让我们看下实际的效果,如图5所示。
图5
至此我们已经成功地在ring3中修改了用户区只读区域,和位于内核的“不可见”区域。呵呵,西游记至此终~真的终么?当然只是joke了,呵呵。