11_零地址读写

原理: 修改 进程空间 虚拟 零地址 的 pte 为 一个当前程序的全局变量;这样 零地址 指向的就是 同一个物理页且属性相同;修改 一个虚拟地址数据;另外的虚拟地址数据同样会改变。

11_零地址读写_第1张图片

注意: 中间加阴影的部分 是为了刷新 TLB 快表,后面章节有详解。

测试结果:

这里不知道为什么printf时候 我的 exception handler 4 检测异常;导致输出不了;但是的确0页 映射到了 和全局变量同一个物理页。

11_零地址读写_第2张图片

代码:

// 5_进程空间虚拟零地址读写.cpp : 此文件包含 "main" 函数。程序执行将在此处开始并结束。
//

#include "pch.h"
#include
#include
#include

#define PTE(x) ((DWORD *)(0xc0000000 + ((x>> 12)<< 3)))
#define PDE(x) ((DWORD *)(0xc0600000 + ((x >> 21) << 3)))
//0x4197b0
DWORD g_var = 0x12345678;
DWORD g_out;
//0x401040
void _declspec(naked) IdtEntry()
{

PTE(0)[0] = PTE(0x4197b0)[0] ;
PTE(0)[1] = PTE(0x4197b0)[1];
__asm {
mov eax, cr3
mov cr3, eax
}
g_out = *(DWORD*)0x7b0;
*(DWORD*)0x7b0 = 0x11111111;

__asm {
// 问题 所在 ,, fs 出错了 ,既然这里可以复制过去能成功;那么应该是前面的 修改 导致了fs 错误。
push 0x3b;
pop fs;
iretd
}
}
void  _declspec(naked) go()
{
g_var = 0x2222222;
__asm {
int 0x20
ret
}
}
//eq 8003f500 0040ee00 081000
void main()
{
if ((DWORD)IdtEntry != 0x401040)
{
printf("wrong addr: sp", IdtEntry);
exit(-1);
}
go();
//printf("out: %p\n", * (DWORD*)0x403000);

printf("var: %d\n", 0x1);
printf("var: %p\n", g_var);
printf("out: %p\n", g_out);
printf("var: %p\n", *(DWORD *)(0x4197b0));
system(" pause");
}



你可能感兴趣的:(11_零地址读写)