透过MmIsAddressValid看Windows分页机制

这两天在逆向分析MmIsAddressValid这个函数，学习了下体能检查分页机制，并且也发现了一个问题。就是本机ntoskrnl中导出的MmIsAddressValid函数是采用非体能检查方式的，而本机XP SP2系统采用的却是体能检查方式的分页机制。这个可以通过嗦中看到。在这里写出来与大家分享。关于物理地址扩展物理地址扩展)是英特尔x86奔腾处理器处理器引入的一种内存映射模式。在此模式下中央处理器可以访问多达64GB的物理内存。在体能检查模式下PDE和手提式测试装置为64位，而不是原来的32位。其结构如下：lkd dt _hardware_ptent！_硬件_私人0x000有效：位置0，1位0x000写入：位置1，1位0x000所有者：位置2，1位0x000直写：位置3，1位0x000缓存禁用：位置4，1位0x000访问：位置5，1位0x000脏：位置6，1位0x000 LargePage :位置7，1位0x000全局：位置8，1位0x000 CopyOnWrite :位置9，1位0x000原型：位置10，1位0x000预留0 :位置11，1位0x000页帧号：位置12，26位0x000预留1 :位置38，26位0x000 LowPart : Uint4B0x004 HighPart : Uint4B以上具体理论部分可以看下英特尔的v3 .系统编程指南。上面有这两种分页方式的介绍。非体能检查分页，理论部分，看图，分4K和4M两种页。下面是艾达看到的ntoskrnl.exe中导出的MmIsAddressValid。文本：0040 c 661布尔值_ _ stdcall MMISADdressValid(PVOID虚拟地址)。文本：0040C661公共内存地址有效。文本：0040 c 661 MMISADdressValid proc附近；代码外部参照： sub_40D65E Cp。文本：0040 c 661 sub _ 415459: loc _ 415470 p.文本：0040C661。text :0040 c 661 VirtualAddress=dword ptr 8。文本：0040C661。文本：0040C661功能块文本：0041B84E大小00000007字节。文本：0040C661功能块在。文本：0044A4F2大小00000019字节。文本：0040C661。文本：0040C661移动电子数据交换，电子数据交换。文本：0040C663推ebp。文本：0040C664 mov ebp，esp。文本：0040C666 mov ecx，ebp虚拟地址。文本：0040C669 mov eax，ecx。文本：0040C66B shr eax，14h右移20位。文本：0040C66E mov edx，0FFCh取高10位。文本：0040C673和eax，edx。文本：0040C675 sub eax，3FD00000h加上0xc0300000。text :0040 c 675 PDE=(VA22)2)0x ffc0xc 0300000。文本：0040C67A mov eax，eax。文本：0040C67C测试a1，1；礼物位。文本：0040C67E jz loc_41B84E。文本：0040C684测试al，al。text 33600040 c 686 js short loc _ 40C 6AC；判断页面大小位。文本：0040C688 shr ecx，0Ah右移10位。文本：0040C68B和ecx，3FFFFCh。text:0040C691 sub ecx，40000000h。文本：0040C697 mov eax，ecx .PTE=(VA 12) 2 )0x3FFFC0xc000000。文本：0040C699 mov ecx，eax；ecx=PTE上下文。文本：0040C69B测试cl，1；判断礼物位。文本：0040C69E jz loc_41B84E。文本：0040C6A4测试cl，cl。text 33600040 c 6a 6 js loc _ 44 A4F 2；判断页面大小位。文本：0040C6AC。文本：0040 c 6交流loc _ 40C 6交流：代码外部参照： MmIsAddressValid 25j。文本：0040 c6ac；MmIsAddressValid 3DE9Fj。text :0040 c 6 ac mov al，1。text 330360 0040 c6ae。文本330360 c0c 6 AE loc _ 40c 6 AE 3330外部参照代码3330 mmsadressvalid f1 efj。text 3303600040 c6ae pop ebp。文本：0040 c 6 af retn 4。文本330360 0040 c 6 af萨达姆有效结束。text 330360 0040 c6af阿吉哥c .非政府组织云娥：布尔mmsadressvalid(pvoid虚拟地址)字节表示符号=0x1:字节页面大小设计=0x 80字节表示页面大小设计=0x 81PVOID绿灯侠服装；ULONG PDE，pdecontextULONG PTE，ptecontextlvirtualdresses=虚拟地址；PDE=(ulong)lvi虚拟地址22)2)0x fc 0 xc 0300000；PDE con text=(ulong)*(pvoid)PDE；如果(！(电子文本演示符号)返回错误的if(PDEContext页面大小设计)返回真实的pte=(ulong)lvirtualdresses 12)2)0x 3 fffc 0 xc 0000000；pt context=(ulong)*(pvoid)pte；如果(！(ptecontext presentsign)返回错误的如果(！(ptecontext页面大小设计)返回真实的其他语句PDE=(ulong)pte 0 xffc 0 xc 0300000；PDE con text=(ulong)*(pvoid)PDE；if(PDEContext演示页面大小设计)返回真实的返回错误的是景麒帕伊魏冄1740年.年PDE、PTE霍元龙（音译):PDE=(va 22)2)0x fc 0 xc 0300000；pte=(va 12)2)0x 3 ffc 0 xc 0000000。帕伊阿云，阿云，阿云，魏冄四千块你好2米长魏冄。安秀琳安秀琳嗦先生朱庇隆阿吉阿吉阿吉阿吉阿吉阿吉阿吉阿吉阿吉阿吉阿吉阿吉阿吉阿吉阿吉阿吉阿吉阿吉阿吉阿吉阿吉阿吉。lkd u mmsadressvalid l50-nt！mmsadressvalid 3330(2012年夏季奥林匹克运动会自行车比赛)80510制造0 8bff mov edi、edi80510fa2 55推力ebp80510fa3 8bec mov ebp，esp80510fa5 51推ecx诶诶哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟EBP - 4战斗机80510fa6 51推ecx诶诶哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟EBP - 8战斗机80510fa7 8b4d08 mov ecx，dword ptrebp 8；哎哎哎哎，哈哈哈80510faa 56推进esi80510fab 8bc1 mov eax、ecx80150路径C1和812 shr eax，12小时；你好中午12时(18魏冄，阿忠哥213个，喂喂喂喂11魏冄(32- 21)绿筠小姐，胡志明先生；云娥8云娥，不，不，不，不，不，不，不，不，不，不，不，不，不，不，不，不，不，不，不，不，不，不，不，不，不，不，不，不，不，不，不，不，不，不*8个，六、结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结结3个。哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟哟；PDE(民主党)80510fb0 bef83f0000 mov esi，3ff 8h3ff 8h=11 1111 111000，你好11魏冄80510fb5 23c6和eax，esi80510fb7 2d0000a03f sub eax，3fa 00000h。阿云见阿云见阿云见阿云见阿云见阿云见阿云见阿云见阿云见阿云见阿云见阿云见阿云见阿云见阿云见阿云见阿云见阿云见阿云见阿云见阿云见阿云见阿云见阿云见阿云见阿云见阿0 - 3FA00000=c0600000h，你好嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯嚯eax(阿拉伯国家联盟)阿琼=是；PDE(民主党)，阿云PDE