首页
论坛
课程
招聘
[系统底层] [调试逆向] win10 1909逆向(通过任意物理帧判断是否是CR3和解密得到所属EPROCESS)
2020-9-2 04:14 3379

[系统底层] [调试逆向] win10 1909逆向(通过任意物理帧判断是否是CR3和解密得到所属EPROCESS)

2020-9-2 04:14
3379

前言

             目前根据逆向得知,有两种方式判断任意物理帧是否是CR3,其中有一种已经在 上一篇文章(CR3无法被MmMapioSpace映射原理和绕过代码)。

       那接下来就来介绍第二种方法,不仅可以判断物理帧是否是CR3,而且还能通过解密来得到这个CR3的EPROCESS。

       先来一下对比CR3这个物理帧和普通物理帧在PFN数据库里的区别:


对比:

一、任意取一个进程的CR3



二、选个GDTR的物理


函数:

ListEntry这个链表的第一项就不同了,具体修改点在函数:MiSetPageTablePfnBuddy()


初步得知:普通的物理帧链表第一项为0,而CR3这种有特殊意义的物理帧,第一项有值,放的就是加密后的EPROCESS。

画框的地方就是加密过程:将(EPROCESS << 0xD) & 0x0FFFFFFFFFFE0000,至于末尾的1并不是这里设置,了解即可。


过程(简化):

以下手动演示解密过程(简化):



因为这里是算术右移,所以最高位需要被符号位,所以是0xFFFFE70FD7955080


结尾:

       因为是靠逆向,特别是windows10的内存有点复杂,如有错误,还望多多指教,希望能借此抛砖引玉!



第五届安全开发者峰会(SDC 2021)议题征集正式开启!

收藏
点赞9
打赏
分享
打赏 + 2.00
打赏次数 1 金额 + 2.00
 
赞赏  可爱的小狗子   +2.00 2020/09/02 精品文章~
最新回复 (13)
雪    币: 9751
活跃值: 活跃值 (2503)
能力值: ( LV9,RANK:260 )
在线值:
发帖
回帖
粉丝
hzqst 活跃值 3 2020-9-2 07:27
2
0
好活当赏
雪    币: 57
活跃值: 活跃值 (501)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
实都 活跃值 2020-9-2 08:45
3
0
此处应有掌声
雪    币: 1557
活跃值: 活跃值 (210)
能力值: ( LV3,RANK:35 )
在线值:
发帖
回帖
粉丝
z许 活跃值 2020-9-2 10:09
4
0
流批~~
雪    币: 205
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
可爱的小狗子 活跃值 2020-9-2 10:12
5
0
牛逼
雪    币: 5836
活跃值: 活跃值 (798)
能力值: ( LV6,RANK:80 )
在线值:
发帖
回帖
粉丝
黑洛 活跃值 1 2020-9-2 11:45
6
0
牛逼
雪    币: 216
活跃值: 活跃值 (308)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
hackflame 活跃值 2020-9-2 11:57
7
0
就是我发现,除了说牛逼,我都说不出话来
雪    币: 659
活跃值: 活跃值 (126)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
mydvdf 活跃值 2020-9-2 12:53
8
0
牛皮
雪    币: 4345
活跃值: 活跃值 (389)
能力值: ( LV2,RANK:15 )
在线值:
发帖
回帖
粉丝
如斯咩咩咩 活跃值 2020-9-2 18:38
9
0
牛批
雪    币: 40
活跃值: 活跃值 (227)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
X-Blades 活跃值 2020-9-2 19:24
10
0
six
雪    币: 2825
活跃值: 活跃值 (2922)
能力值: ( LV8,RANK:130 )
在线值:
发帖
回帖
粉丝
学技术打豆豆 活跃值 1 2020-9-3 21:00
11
0
雪    币: 71
活跃值: 活跃值 (337)
能力值: ( LV8,RANK:130 )
在线值:
发帖
回帖
粉丝
killpy 活跃值 2 2020-9-5 17:55
12
0
win7 x64呢 也这样吗
雪    币: 215
活跃值: 活跃值 (2262)
能力值: ( LV7,RANK:110 )
在线值:
发帖
回帖
粉丝
不懂就不懂 活跃值 2 2020-9-7 09:56
13
0
牛批
雪    币: 403
活跃值: 活跃值 (304)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
笑熬浆糊 活跃值 2 2020-9-22 23:22
14
0
爽翻,不得不点一下赞
游客
登录 | 注册 方可回帖
返回