首页
论坛
课程
招聘
[求助]关于 大 非分页池问题
2020-5-25 20:00 4447

[求助]关于 大 非分页池问题

2020-5-25 20:00
4447

各位老师,windbg利用!pool 8521000可以看到该地址为非分页池,且大小为0x11000
图片描述
然后在利用 nt!PoolBigPageTable 进行遍历,获取所有"大池"结构
windbg脚本

#!c
r? @$t0 = (nt!_POOL_TRACKER_BIG_PAGES*)@@(poi(nt!PoolBigPageTable))
r? @$t1 = *(int*)@@(nt!PoolBigPageTableSize) / sizeof(nt!_POOL_TRACKER_BIG_PAGES)
.for (r @$t2 = 0; @$t2 < @$t1; r? @$t2 = @$t2 + 1)
{
    r? @$t3 = @$t0[@$t2];
    .if (@@(@$t3.Va != 1))
    {
        .printf "VA: 0x%p Size: 0x%lx Tag: %c%c%c%c Freed: %d Paged: %d CacheAligned: %d\n", @@((int)@$t3.Va & ~1), @@(@$t3.NumberOfBytes), @@(@$t3.Key >> 0 & 0xFF), @@(@$t3.Key >> 8 & 0xFF), @@(@$t3.Key >> 16 & 0xFF), @@(@$t3.Key >> 24 & 0xFF), @@((int)@$t3.Va & 1), @@(@$t3.PoolType & 1), @@(@$t3.PoolType & 4) == 4
    }
}

发现并没有该池的地址0x85f21000,按理说该地址也应该在这个列表中啊,也不知道各位老师可不可以复现该问题,我是在调试永恒之蓝,在memmove的时候查看的pool结构然后遍历的。是我哪里理解的不到位吗?


看雪招聘平台创建简历并且简历完整度达到90%及以上可获得500看雪币~

收藏
点赞0
打赏
分享
最新回复 (2)
雪    币: 258
活跃值: 活跃值 (256)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
ZwCopyAll 活跃值 2020-5-26 09:45
2
0
windbg最新命令LINQ语法真是鸡儿蛋疼  0x85f21000是物理地址吧?
雪    币: 1845
活跃值: 活跃值 (377)
能力值: ( LV6,RANK:80 )
在线值:
发帖
回帖
粉丝
毕达哥拉斯 活跃值 1 2020-5-29 14:07
3
0
这脚本你写着不累吗?
游客
登录 | 注册 方可回帖
返回