内核知识第九讲,32位下的分页管理,36位下的分页管理.以及64位下的分页管理
一丶熟悉WinDbg的常见命令.
dd 虚拟地址 显示内存.
!dd 加上!, ! dd 物理地址 专门用于显示物理地址的.
!PTE 虚拟地址: 微软给你计算出PDE,和PTE的虚拟地址的位置.(自动查表并且进行操作)
例如随便求一个虚拟地址:
DD命令的使用:
当然, db则是一个字节一个字节显示, dQ则是八个字节显示.
!dd, 物理内存显示:
!PTE 查询页目录表和页表.
微软给的是虚拟地址,我们只需要再次进行DD 这个虚拟地址即可.
二丶寻址结构图
昨天我们讲解的是32为下4M 4K的做表方式. 一个页目录表.一个页表 (PDE,PTE),虚拟地址当作下表进行寻址动作.
然后还有一个寻址结构图
1. 首先第一步,虚拟地址是段加偏移的方式 例如: CS:00401000
2.而后,段CS,当作选择子去GDT表中查表.找到线性地址. 因为GDT微软不使用.所以GDT表中的段首地址是0,所以 0 我们的偏移,找到线性地址. 图中(linAddr)
3.而后线性地址,拆分成索引.去查询页目录表. 而后继续查询页表.而后从页表中取出物理地址,加上虚拟地址的偏移.则是一个完整的物理地址.
PS: 因为GDT没有使用,所以如果不开启分页保护.这个线性地址就是物理地址.但是现在开了,所以要查询物理地址,看下图
0-15是段选择子,0-31是虚拟地址. 段选择子去GDT查表.加上我们的虚拟地址就是物理地址. 而是否开启分页保护,就是修改CR0的标志位.上一篇已经讲过了.
这里查表,拆分成了索引.但是昨天我们只学习了4M 4K的查表方法.虚拟地址的前20位做索引. 查询.
但是32位下还有别的做表方式.
三丶32位下的PDE,PTE表,以及通用查表方法(通用: 指的是大同小异)
看一下32位下的做表的图:
32位系统下,PDE有1024项,每一项是4个字节,其中存储了页表的位置.
这个就是我们昨天就爱了各国的.
1.首先从CR3中取出页目录表(PDE)
2.虚拟地址作为下表查询PDE.
3.根据查询的PDE表项.找出PTE的位置.
4.根据索引.查询PTE的位置.
5.根据PTE中的内容.加上我们的虚拟地址的后12位,就得出了这个线性地址在物理地址的位置.
实战演练:
查询GDT虚拟地址的物理地址.
1.获取GDT的虚拟地址, 获取CR3的值.
VA = 8003F00
CR3 = 39000
2.查分虚拟地址.当作下表.查询页目录表的位置.
8003f000 保留低12位 = 8003f
查分为索引.
8003f = 10000000000000111111
对2进制分割. 分为前10位.后10位.从右往左分割. 前10位索引当作 PDE的下表. 后10位的索引当作PTE的下表.
1000000000 0000111111
PDE = 1000000000 ,转为16进制 = 0x200
PTE = 0000111111 ,转为16进制 = 0x3f
由此得出下表.
3.根据下表进行查表.
CR3是PDE的首地址. 所以我们直接用WinDbg进行查表即可.
公式:
物理地址 * 索引 *4, 为什么*4,因为PDE的一个表项是4个字节
由此得出页表的位置(PTE)
4.查询页表(PTE)
我们从PDE表项中,取出前20位,然后加上12位,继续进行查表.
为什么这样做.上一篇已经介绍了表格式了.
5.根据PTE的内容.找出物理地址的位置.
根据上图,我们已经找到物理地址了.
取出前20位,加上虚拟地址的后12位偏移.则是物理地址了.
找出了所在的物理地址了.
此时我们dd 虚拟地址.查看是否两块内存是一样的.
至此.我们的查表已经完成.
但是.我们这样查询是错误的.为什么?
首先查询方法是正确的.类似于上面.我们已经正确的查询到了物理地址. 但为什么又说是错误的.
原因:
操作系统在做分页管理的时候.不一定是4M 4k的这种表来做的. 有可能有更大的表.
所以我们要看标志位进行查表
四丶标志位介绍.
上图介绍了标志位为什么.表项做多大的.
1. 如果PSE和PS位都为1.那么这个表就做成4MB的.
2.如果PS位为0.PSE位无效那么这个表就做成4kb的.
3.如果PAE为1,PS位为1,则表项做成2MB的.
我们要看标志位进行查表.
PAE位 (物理地址扩展): 存放在CR4寄存器的第五位.
PSE位 (页尺寸扩展): 存放在CR4寄存器的第4位.
PS位: 存放在PDE(页目录表的第7位)
上面所说的.都是从左往右的位.
比如:
CR4寄存器的值 = 0x34500
拆分:
0011 0100 0110 0000 0000 第4位.第五位都是0.
索引我们要根据位来看看到底是什么表.
五丶32位表项.
从上面我们得知了第一种表现.是4KB的表项做法.每一个都是1024项的.
4kb表项
也就是我们上图做的.查表的是否根据上图去查表的.
4MB的页
这个就很简单了.发现了没有.上面少了一个页表. 我们从PDE中查表的时候.查出来直接就是物理地址了.
而且虚拟地址的偏移是22位了.所以最后我们加的是前10位.
而且下图也有说.
还把各种标志位的作用都说了.
查表方法同上面一样. 只不过最后加偏移的是否是 从PDE表中的所在物理地址的位置取出10位.然后加上我们的偏移即可.
例如我们从上面随便找个PDE的表
假设 PDE中的0003b163是物理地址.我们只需要取出前10位.然后加上我们的偏移即可.
0000 0000 00 offset = 物理地址.
六丶开启PAE,36位表项.
在我们可以映射4G内存的是否. 内存发展速度大于CPU.此时已经8G内存了.如果访问
此时CPU厂家.就加了4根地址总线.以支持8G的访问.
而因为为了支持.所以表项变成了512个项了. 每一项8个字节了.
36位下4KB的分页
根据上图,我们可以看出.加了一个新表.
我们的虚拟地址索引的高2位要做为这个 新表的索引去查询.
最后我们的12位偏移,要加上PTE中物理地址的24位才是我们的物理内存的位置.
而这种做表方法.只能说也是映射4G内存.只不过可以映射多个4G内存了.
查表方法和上面一样.
首先字节改变了. 每一项8个字节,而后最后我们是12位加上24位.得出物理地址.
36位下2MB的分页
也是同上.只不过少了一个PTE.查表动作少了一次而已.
.只不过计算的是否.要根据36位地址来计算.
看下图.
2MB的
第一张图,告诉了我们.我们进行查表的时候. 4KB的怎么加.
例如:
我们以前查表是 !dd 3f000000 ,正好32位.而看上图.4KB的告诉了我们.
32位 - 35位当作基址查询.(4位) 要加上. 比如 !dd 00003f000000 正好满足36的地址进行查寻.
2MB的图是一样的.
七丶64位系统下的表项
64位CPU下的的表项.同32为系统的表项是一样的. 只不过变的更大了.
4kb的表项
和32位下一样.加了几张表.各种位都变大了.
2MB的分页
64位扩展的2MB分页
64位下映射1GB的图
CR3. 当我们3环调用0环回调的是否.CR3是ring3的.
八丶为什么学习这些表.以及学这些表的作用
为什么学习. 因为到了0环.就是对抗了. 就比谁对操作系统了解.
比如我们熟悉上面的这些表的设计. 而且根据GDT,找出线性地址.根据线性地址找出对应的物理地址.
那么我们完全可以进行手动操作物理内存. 实现ReadProcessMemory和WriteProcessMemeory.
当然不会怎么简单.但是我们能操作内存了. 是不是就不用调用API了.我们自己实现了 内存读写功能.
举例子:
假设游戏有保护.保护了API. 不让你读写内存. 给你HOOK了.各种检测. 但是我们不调用. 我们自己写一个.它怎么检测.
