AI 助理
备案控制台
开发者社区 云计算 文章 正文

驱动开发：内核CR3切换读写内存

2022-10-28 493
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： 首先CR3是什么，CR3是一个寄存器，该寄存器内保存有页目录表物理地址(PDBR地址)，其实CR3内部存放的就是页目录表的内存基地址，运用CR3切换可实现对特定进程内存地址的强制读写操作，此类读写属于有痕读写，多数驱动保护都会将这个地址改为无效，此时CR3读写就失效了，当然如果能找到CR3的正确地址，此方式也是靠谱的一种读写机制。

首先CR3是什么，CR3是一个寄存器，该寄存器内保存有页目录表物理地址(PDBR地址)，其实CR3内部存放的就是页目录表的内存基地址，运用CR3切换可实现对特定进程内存地址的强制读写操作，此类读写属于有痕读写，多数驱动保护都会将这个地址改为无效，此时CR3读写就失效了，当然如果能找到CR3的正确地址，此方式也是靠谱的一种读写机制。

在读写进程之前需要先找到进程的PEPROCESS结构，查找结构的方法也很简单，依次遍历进程并对比进程名称即可得到。

#include <ntifs.h>
#include <windef.h>
#include <intrin.h>

NTKERNELAPI NTSTATUS PsLookupProcessByProcessId(HANDLE ProcessId, PEPROCESS *Process);
NTKERNELAPI CHAR* PsGetProcessImageFileName(PEPROCESS Process);

// 定义全局EProcess结构
PEPROCESS Global_Peprocess = NULL;

// 根据进程名获得EPROCESS结构
NTSTATUS GetProcessObjectByName(char *name)
{
    NTSTATUS Status = STATUS_UNSUCCESSFUL;
    SIZE_T i;

    __try
    {
        for (i = 100; i<20000; i += 4)
        {
            NTSTATUS st;
            PEPROCESS ep;
            st = PsLookupProcessByProcessId((HANDLE)i, &ep);
            if (NT_SUCCESS(st))
            {
                char *pn = PsGetProcessImageFileName(ep);
                if (_stricmp(pn, name) == 0)
                {
                    Global_Peprocess = ep;
                }
            }
        }
    }
    __except (EXCEPTION_EXECUTE_HANDLER)
    {
        return Status;
    }
    return Status;
}

VOID UnDriver(PDRIVER_OBJECT driver)
{
    DbgPrint(("Uninstall Driver Is OK \n"));
}

NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
    DbgPrint("hello lyshark \n");

    NTSTATUS nt = GetProcessObjectByName("Tutorial-i386.exe");

    if (NT_SUCCESS(nt))
    {
        DbgPrint("[+] eprocess = %x \n", Global_Peprocess);
    }

    Driver->DriverUnload = UnDriver;
    return STATUS_SUCCESS;
}

以打开Tutorial-i386.exe为例，打开后即可返回他的Proces，当然也可以直接传入进程PID同样可以得到进程Process结构地址。

// 根据PID打开进程
PEPROCESS Peprocess = NULL;
DWORD PID = 6672;
NTSTATUS nt = PsLookupProcessByProcessId((HANDLE)PID, &Peprocess);

通过CR3读取内存实现代码如下，我们读取Tutorial-i386.exe里面的0x0009EDC8这段内存，读出长度是4字节，代码如下。

#include <ntifs.h>
#include <windef.h>
#include <intrin.h>

#define DIRECTORY_TABLE_BASE 0x028

#pragma  intrinsic(_disable)
#pragma  intrinsic(_enable)

NTKERNELAPI NTSTATUS PsLookupProcessByProcessId(HANDLE ProcessId, PEPROCESS *Process);
NTKERNELAPI CHAR* PsGetProcessImageFileName(PEPROCESS Process);

// 关闭写保护
KIRQL Open()
{
    KIRQL irql = KeRaiseIrqlToDpcLevel();
    UINT64 cr0 = __readcr0();
    cr0 &= 0xfffffffffffeffff;
    __writecr0(cr0);
    _disable();
    return irql;
}

// 开启写保护
void Close(KIRQL irql)
{
    UINT64 cr0 = __readcr0();
    cr0 |= 0x10000;
    _enable();
    __writecr0(cr0);
    KeLowerIrql(irql);
}

// 检查内存
ULONG64 CheckAddressVal(PVOID p)
{
    if (MmIsAddressValid(p) == FALSE)
        return 0;
    return *(PULONG64)p;
}

// CR3 寄存器读内存
BOOLEAN CR3_ReadProcessMemory(IN PEPROCESS Process, IN PVOID Address, IN UINT32 Length, OUT PVOID Buffer)
{
    ULONG64 pDTB = 0, OldCr3 = 0, vAddr = 0;
    pDTB = CheckAddressVal((UCHAR*)Process + DIRECTORY_TABLE_BASE);
    if (pDTB == 0)
    {
        return FALSE;
    }

    _disable();
    OldCr3 = __readcr3();
    __writecr3(pDTB);
    _enable();

    if (MmIsAddressValid(Address))
    {
        RtlCopyMemory(Buffer, Address, Length);
        DbgPrint("读入数据: %ld", *(PDWORD)Buffer);
        return TRUE;
    }

    _disable();
    __writecr3(OldCr3);
    _enable();
    return FALSE;
}

VOID UnDriver(PDRIVER_OBJECT driver)
{
    DbgPrint(("Uninstall Driver Is OK \n"));
}

NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
    DbgPrint("hello lyshark \n");

    // 根据PID打开进程
    PEPROCESS Peprocess = NULL;
    DWORD PID = 6672;
    NTSTATUS nt = PsLookupProcessByProcessId((HANDLE)PID, &Peprocess);

    DWORD buffer = 0;

    BOOLEAN bl = CR3_ReadProcessMemory(Peprocess, (PVOID)0x0009EDC8, 4, &buffer);

    DbgPrint("readbuf = %x \n", buffer);
    DbgPrint("readbuf = %d \n", buffer);

    Driver->DriverUnload = UnDriver;
    return STATUS_SUCCESS;
}

读出后输出效果如下：

image.png

写出内存与读取基本一致，代码如下。

#include <ntifs.h>
#include <windef.h>
#include <intrin.h>

#define DIRECTORY_TABLE_BASE 0x028

#pragma  intrinsic(_disable)
#pragma  intrinsic(_enable)

NTKERNELAPI NTSTATUS PsLookupProcessByProcessId(HANDLE ProcessId, PEPROCESS *Process);
NTKERNELAPI CHAR* PsGetProcessImageFileName(PEPROCESS Process);

// 关闭写保护
KIRQL Open()
{
    KIRQL irql = KeRaiseIrqlToDpcLevel();
    UINT64 cr0 = __readcr0();
    cr0 &= 0xfffffffffffeffff;
    __writecr0(cr0);
    _disable();
    return irql;
}

// 开启写保护
void Close(KIRQL irql)
{
    UINT64 cr0 = __readcr0();
    cr0 |= 0x10000;
    _enable();
    __writecr0(cr0);
    KeLowerIrql(irql);
}

// 检查内存
ULONG64 CheckAddressVal(PVOID p)
{
    if (MmIsAddressValid(p) == FALSE)
        return 0;
    return *(PULONG64)p;
}

// CR3 寄存器写内存
BOOLEAN CR3_WriteProcessMemory(IN PEPROCESS Process, IN PVOID Address, IN UINT32 Length, IN PVOID Buffer)
{
    ULONG64 pDTB = 0, OldCr3 = 0, vAddr = 0;

    // 检查内存
    pDTB = CheckAddressVal((UCHAR*)Process + DIRECTORY_TABLE_BASE);
    if (pDTB == 0)
    {
        return FALSE;
    }

    _disable();

    // 读取CR3
    OldCr3 = __readcr3();

    // 写CR3
    __writecr3(pDTB);
    _enable();

    // 验证并拷贝内存
    if (MmIsAddressValid(Address))
    {
        RtlCopyMemory(Address, Buffer, Length);
        return TRUE;
    }
    _disable();

    // 恢复CR3
    __writecr3(OldCr3);
    _enable();
    return FALSE;
}

VOID UnDriver(PDRIVER_OBJECT driver)
{
    DbgPrint(("Uninstall Driver Is OK \n"));
}

NTSTATUS DriverEntry(IN PDRIVER_OBJECT Driver, PUNICODE_STRING RegistryPath)
{
    DbgPrint("hello lyshark \n");

    // 根据PID打开进程
    PEPROCESS Peprocess = NULL;
    DWORD PID = 6672;
    NTSTATUS nt = PsLookupProcessByProcessId((HANDLE)PID, &Peprocess);

    DWORD buffer = 999;

    BOOLEAN bl = CR3_WriteProcessMemory(Peprocess, (PVOID)0x0009EDC8, 4, &buffer);
    DbgPrint("写出状态: %d \n", bl);

    Driver->DriverUnload = UnDriver;
    return STATUS_SUCCESS;
}

写出后效果如下：

image.png

至于进程将CR3改掉了读取不到该寄存器该如何处理，这里我找到了一段参考代码，可以实现寻找CR3地址这个功能。

#include <ntddk.h>
#include <ntstrsafe.h>
#include <windef.h>
#include <intrin.h>

#pragma pack(push, 1)

typedef struct _IDTR // IDT基址
{
    USHORT limit;    // 范围 占8位
    ULONG64 base;    // 基地址 占32位 _IDT_ENTRY类型指针
}IDTR, *PIDTR;

typedef union _IDT_ENTRY
{
    struct kidt
    {
        USHORT OffsetLow;
        USHORT Selector;
        USHORT IstIndex : 3;
        USHORT Reserved0 : 5;
        USHORT Type : 5;
        USHORT Dpl : 2;
        USHORT Present : 1;
        USHORT OffsetMiddle;
        ULONG OffsetHigh;
        ULONG Reserved1;
    }idt;
    UINT64 Alignment;
} IDT_ENTRY, *PIDT_ENTRY;

#pragma pack(pop)

// 输出调试内容
void DebugPrint(const char* fmt, ...)
{
    UNREFERENCED_PARAMETER(fmt);
    va_list ap;
    va_start(ap, fmt);
    vDbgPrintEx(DPFLTR_IHVDRIVER_ID, DPFLTR_ERROR_LEVEL, fmt, ap);
    va_end(ap);
    return;
}

// 获取IDT表地址
ULONG64 GetIdtAddr(ULONG64 pIdtBaseAddr, UCHAR pIndex)
{
    PIDT_ENTRY Pidt_info = (PIDT_ENTRY)(pIdtBaseAddr);
    Pidt_info += pIndex;
    ULONG64 vCurrentAddr = 0;
    ULONG64 vCurrentHighAddr = 0;
    vCurrentAddr = Pidt_info->idt.OffsetMiddle;
    vCurrentAddr = vCurrentAddr << 16;
    vCurrentAddr += Pidt_info->idt.OffsetLow;

    vCurrentHighAddr = Pidt_info->idt.OffsetHigh;
    vCurrentHighAddr = vCurrentHighAddr << 32;
    vCurrentAddr += vCurrentHighAddr;
    return vCurrentAddr;
}

VOID UnLoadDriver()
{

}

NTSTATUS DriverEntry(_In_ PDRIVER_OBJECT pPDriverObj, _In_ PUNICODE_STRING pRegistryPath)
{
    UNREFERENCED_PARAMETER(pRegistryPath);
    pPDriverObj->DriverUnload = (PDRIVER_UNLOAD)UnLoadDriver;

    /**
    TP版KiPageFault
    fffff880`09f54000 50              push    rax
    // 这里实际上是真实处理函数的地址 需要 & 0xFFFFFFFFFFF00000
    fffff880`09f54001 48b87830ce0980f8ffff mov rax,0FFFFF88009CE3078h
    fffff880`09f5400b 4883ec08        sub     rsp,8
    fffff880`09f5400f 48890424        mov     qword ptr [rsp],rax
    fffff880`09f54013 48311424        xor     qword ptr [rsp],rdx
    fffff880`09f54017 e810000000      call    fffff880`09f5402c
    fffff880`09f5401c 896eff          mov     dword ptr [rsi-1],ebp
    fffff880`09f5401f 230500000089    and     eax,dword ptr [fffff87f`92f54025]
    **/
    //得到TP KiPageFault地址
    // _IDTR vContent;
    // __sidt(&vContent);
    ULONG64 vTpKiPageFault = GetIdtAddr(vContent.base, 0xE);

    //得到TP 动态内存起始值
    ULONG64 vTpMemory = *(PULONG64)(vTpKiPageFault + 0x3) & 0xFFFFFFFFFFF00000;

    //得到TP KiPageFault真实处理函数
    ULONG64 vTpKiPageFaultFuncAddr = vTpMemory + 0x4CE7C;

    if (MmIsAddressValid((PVOID)vTpKiPageFaultFuncAddr))
    {//真实处理函数有效

        //得到TP数据对象基地址
        ULONG64 vTpDataObjectBase = *(PULONG)(vTpMemory + 0x1738B) + vTpMemory + 0x1738F;

        if (MmIsAddressValid((PVOID)vTpDataObjectBase))
        {//基地址有效

            //得到TP 用来保存真实CR3 保存当前所属进程ID 的对象
            ULONG64 vTpDataObject = *(PULONG64)vTpDataObjectBase;

            DebugPrint("数据对象:0x%016llx, 真实CR3:0x%016llx, 所属进程ID:%d\n", vTpDataObject, *(PULONG64)(vTpDataObject + 0x70), *(PULONG)(vTpDataObject + 0x18));
        }
        else
            DebugPrint("vTpDataObjectBase无法读取:0x%016llx\n", vTpDataObjectBase);
    }
    else
        DebugPrint("vTpKiPageFaultFuncAddr无法读取:0x%016llx\n", vTpKiPageFaultFuncAddr);

    return STATUS_SUCCESS;
}
关键词：
开发内存
内存读写
内存内核
读写内存
驱动开发内核内存
lyshark
目录
相关文章
追逐时光者
|
26天前
|
存储 运维
.NET开发必备技巧：使用Visual Studio分析.NET Dump，快速查找程序内存泄漏问题！
.NET开发必备技巧：使用Visual Studio分析.NET Dump，快速查找程序内存泄漏问题！
追逐时光者
43 2
君子世无双~
|
2月前
|
算法 安全 UED
探索操作系统的内核空间：虚拟内存管理
【7月更文挑战第50天】 在现代操作系统中，虚拟内存管理是核心功能之一，它允许操作系统高效地使用物理内存，并为应用程序提供独立的地址空间。本文将深入探讨操作系统虚拟内存管理的机制，包括分页、分段以及内存交换等关键技术，并分析它们如何共同作用以实现内存的有效管理和保护。通过理解这些原理，读者可以更好地把握操作系统的内部工作原理及其对应用程序性能的影响。
君子世无双~
43 1
游客wkzdk2qklv76k
|
2月前
|
easyexcel Java 关系型数据库
阿里巴巴-EasyExcel 基于Java的简单、省内存的读写Excel
该文章主要介绍了在Java应用中如何使用EasyExcel技术完成对Excel文件的导入和导出操作，包括环境搭建、基本概念、快速入门、进阶操作和综合应用等内容，并提供了相关代码示例和注意事项。
游客wkzdk2qklv76k
151 0
阿里巴巴-EasyExcel 基于Java的简单、省内存的读写Excel
小王老师呀
|
2月前
|
Swift iOS开发
iOS开发-属性的内存管理
【8月更文挑战第12天】在iOS开发中，属性的内存管理至关重要，直接影响应用性能与稳定性。主要策略包括：`strong`（强引用），不维持对象生命期，可用于解除循环引用；`assign`（赋值），适用于基本数据类型及非指针对象属性；`copy`，复制对象而非引用，确保对象不变性。iOS采用引用计数管理内存，ARC（自动引用计数）自动处理引用增减，简化开发。为避免循环引用，可利用弱引用或Swift中的`[weak self]`。最佳实践包括：选择恰当的内存管理策略、减少不必要的强引用、及时释放不再使用的对象、注意block内存管理，并使用Xcode工具进行内存分析。
小王老师呀
41 1
呆呆宝
|
3月前
|
Java 运维
开发与运维内存问题之文件句柄泄漏如何解决
开发与运维内存问题之文件句柄泄漏如何解决
呆呆宝
49 3
呆呆宝
|
3月前
|
缓存 Java Linux
开发与运维内存问题之线上遇到故障，使用jstat命令发现Old区持续增长如何解决
开发与运维内存问题之线上遇到故障，使用jstat命令发现Old区持续增长如何解决
呆呆宝
38 2
嘟嘟嘟嘟嘟嘟
|
3月前
|
NoSQL Redis C++
c++开发redis module问题之在复杂的Redis模块中，特别是使用第三方库或C++开发时，接管内存统计有哪些困难
c++开发redis module问题之在复杂的Redis模块中，特别是使用第三方库或C++开发时，接管内存统计有哪些困难
嘟嘟嘟嘟嘟嘟
28 1
Ant.Dream
|
2月前
|
Java 开发工具 Android开发
Android经典面试题之开发中常见的内存泄漏，以及如何避免和防范
本文介绍Android开发中内存泄漏的概念及其危害，并列举了四种常见泄漏原因：静态变量持有Context、非静态内部类、资源未释放及监听器未注销。提供了具体代码示例和防范措施，如使用ApplicationContext、弱引用、适时释放资源及利用工具检测泄漏。通过遵循这些建议，开发者可以有效提高应用稳定性和性能。
Ant.Dream
40 0
呆呆宝
|
3月前
|
缓存 运维 监控
开发与运维内存问题之dmesg，它在故障排查中的作用如何解决
开发与运维内存问题之dmesg，它在故障排查中的作用如何解决
呆呆宝
38 0
呆呆宝
|
3月前
|
算法 Java UED
开发与运维内存问题之Serial Old收集器用途如何解决
开发与运维内存问题之Serial Old收集器用途如何解决
呆呆宝
15 0