windbg查看文件的PTE和PDE

1、下载好windbg，设置好变量symbols（去官网下载对应版本的symbols)

2、进入kernel debug模式的本机调试（内核调试模式），我是在xp虚拟机下进行的。

3、用!process 0 0命令打印当前所有的进程信息，找到我们的exe信息（这里是hello.exe）

4、先.process 81c39020进入进程

5、!pte 81c39020打印此处的PTE和PDE

6、得到的是PDE和PTE的虚拟地址，可以通过两种方法映射成物理地址

（1）利用页帧号PFN，物理地址=页帧号*页大小+页偏移

（2）利用windbg的 !vtop 基地址 需要转化的虚拟地址 来得到物理地址。

7、利用!dd 或!db来查看内容