win64 驱动内存基本操作

2021-05-12 01:30

阅读：397

标签：nbsp 代码防止类型 font 内核 byte void virtual

1.基本函数及其原型

PVOID 
  ExAllocatePool(
    IN POOL_TYPE  PoolType,
    IN SIZE_T  NumberOfBytes
    );

VOID 
  RtlMoveMemory(
    IN VOID UNALIGNED  *Destination,
    IN CONST VOID UNALIGNED  *Source,
    IN SIZE_T  Length
    );

VOID 
  RtlFillMemory(
    IN VOID UNALIGNED  *Destination,
    IN SIZE_T  Length,
    IN UCHAR  Fill
    );

VOID 
  ExFreePool(
    IN PVOID  P
    );

2.内存类型

PagedPool 和NonPagedPool
前者可以被置换到硬盘中,一般存储数据, 如打开一个大文件, 数据结构.

后者不能被置换到硬盘中,驻留在内存中,一般用来存储代码.

如果执行代码到PagedPool的内存中去了,很有可能导致蓝屏

此外,在内核空间中所有内存都是可读可写可执行,故没有类似用户态下的VirtualProtect改变内存属性的函数

但是并不意味着可以随意执行和改写内存中的代码.要满足2个条件: 一个是关闭内存写保护, 二个是提升IRQL级别.(防止执行出错)

对于关闭内存写保护通过操作cr0寄存器,后者使用KeRaiseIrqlToDpcLevel 和KeLowerIrql 实现

//关闭内存写保护和提升IRQL

KIRQL irql=KeRaiseIrqlToDpcLevel();
UINT64 cr0=__readcr0();
cr0 &= 0xfffffffffffeffff;
__writecr0(cr0);
_disable();

还原:

UINT64 cr0=__readcr0();
cr0 |= 0x10000;
_enable();
__writecr0(cr0);
KeLowerIrql(irql);

未完待续.......

win64 驱动内存基本操作

标签：nbsp 代码防止类型 font 内核 byte void virtual

原文地址：http://www.cnblogs.com/freesec/p/7582466.html

上一篇：c#常用类

文章来自：搜素材网的编程语言模块，转载请注明文章出处。
文章标题：win64 驱动内存基本操作
文章链接：http://soscw.com/index.php/essay/84481.html

亲，登录后才可以留言！