ProgrammingRing
ProgrammingRing

PAE下的虚拟内存映射 实践

转自:http://user.qzone.qq.com/31731705/blog/1323426728

前文是理论分析，在此：  PAE下的虚拟内存映射 分析 （   http://user.qzone.qq.com/31731705/blog/1323414733   ），理论需要结合实际，现在来实际体验一下。
 
随便选个进程，就当前进程吧，
0: kd> !process 
PROCESS 8da74d40  SessionId: 1  Cid: 1f6c    Peb: 7ffdf000  ParentCid: 19e4
    DirBase: deb6d0c0  ObjectTable: cce0d8b0  HandleCount: 216.
    Image:  windbg.exe 
    VadRoot b11b89c8 Vads 106 Clone 0 Private 3601. Modified 0. Locked 0.
......
是Windbg进程，根据  上篇 中的介绍，0xC0603000的地方，指向了进程的页目录，而DirBase是deb6d0c0，是物理地址，也是指向PDPE的地址。它们的内容应该相同。
0: kd> dd c0603000 
c0603000  b21f0863 00000000 15ff1863 00000000
c0603010  55df2863 00000000 183f3863 00000000
......
开始处的4个值应该是4个PDE的物理地址，对应的VA分别是0xC0600000, 0xC0601000, 0xC0602000, 0xC0603000，让我们使用DirBase验证，
0: kd> !dd deb6d0c0 
#deb6d0c0 b21f0801 00000000 15ff1801 00000000
#deb6d0d0 55df2801 00000000 183f3801 00000000
......
乍一看，里面的值不一样，  ，可以推断0xC0603000并没被映射到物理地址deb6d0c0，而是2块独立的内存。但是，地址处的值其实是一样的（因为最低的12Bit是属性值）。
进一步看看，
0: kd> !vtop deb6d0c0 c0600000 
X86VtoP: Virt c0600000, pagedir deb6d0c0
X86VtoP: PAE PDPE deb6d0d8 - 00000000183f3801
X86VtoP: PAE PDE 183f3018 - 00000000183f3863
X86VtoP: PAE PTE 183f3000 - 00000000b21f0863
X86VtoP: PAE Mapped phys b21f0000
Virtual address c0600000 translates to physical address  b21f0000 .
0: kd> !vtop deb6d0c0 c0601000 
X86VtoP: Virt c0601000, pagedir deb6d0c0
X86VtoP: PAE PDPE deb6d0d8 - 00000000183f3801
X86VtoP: PAE PDE 183f3018 - 00000000183f3863
X86VtoP: PAE PTE 183f3008 - 0000000015ff1863
X86VtoP: PAE Mapped phys 15ff1000
Virtual address c0601000 translates to physical address  15ff1000 .
0: kd> !vtop deb6d0c0 c0602000 
X86VtoP: Virt c0602000, pagedir deb6d0c0
X86VtoP: PAE PDPE deb6d0d8 - 00000000183f3801
X86VtoP: PAE PDE 183f3018 - 00000000183f3863
X86VtoP: PAE PTE 183f3010 - 0000000055df2863
X86VtoP: PAE Mapped phys 55df2000
Virtual address c0602000 translates to physical address  55df2000 .
0: kd> !vtop deb6d0c0 c0603000 
X86VtoP: Virt c0603000, pagedir deb6d0c0
X86VtoP: PAE PDPE deb6d0d8 - 00000000183f3801
X86VtoP: PAE PDE 183f3018 - 00000000183f3863
X86VtoP: PAE PTE 183f3018 - 00000000183f3863
X86VtoP: PAE Mapped phys 183f3000
Virtual address c0603000 translates to physical address  183f3000 .
确实验证了前面的分析结果，VA 0xC0603000或者物理地址deb6d0c0处的值，分别对应着4个VA（0xC0600000, 0xC0601000, 0xC0602000, 0xC0603000）的物理地址。如果你够细心，你会发现0xC0603000处的内容指向了它自己（结合  上一篇 中的图），这真的很神奇。这样，任何进程都可以通过线性地址访问页目录指针表，页目录，页表，还有普通的内存页。
 
回到开始，为什么DirBase的值，不是0xC0603000的物理地址183f3000，而是另外的一块deb6d0c0（对应的虚拟地址VA是0x8856d0c0）。
0: kd> !vtop deb6d0c0 0x8856d0c0 
X86VtoP: Virt 8856d0c0, pagedir deb6d0c0
X86VtoP: PAE PDPE deb6d0d0 - 0000000055df2801
X86VtoP: PAE PDE 55df2210 - 00000000dea009e3
X86VtoP: PAE  Large page mapped phys deb6d0c0
Virtual address 8856d0c0 translates to physical address deb6d0c0.
 
是一个Large Page，在PAE下这是1个2M的Page，先Hold住这个问题，  切换到另外一个进程看看，

   0: kd> !process 0 0 qq.exe 
PROCESS 887a4d40  SessionId: 1  Cid: 029c    Peb: 7ffd6000  ParentCid: 17c0
    DirBase: dc99dac0  ObjectTable: be517450  HandleCount: 2125.
    Image: QQ.exe
0: kd> .process /p /r 887a4d40 
Implicit process is now 887a4d40
Loading User Symbols
................................................................
看看QQ进程的情况，
0: kd> !dd dc99dac0 
#dc99dac0 acec1801 00000000 a92c2801 00000000
#dc99dad0 9dcc3801 00000000 a95c4801 00000000
#dc99dae0 8a79df20 8495ec20 38eb2801 00000000
......
0: kd> dd c0603000 
c0603000  acec1863 00000000 a92c2863 00000000
c0603010  9dcc3863 00000000 a95c4863 00000000
c0603020  b07c5863 00000000 00000000 00000000
......
同样，0xC0603000没有被映射到DirBase: dc99dac0上，但前4项的内容是一致的，是QQ进程的PDE的物理地址，
0: kd> !vtop dc99dac0 c0600000; !vtop dc99dac0 c0601000; !vtop dc99dac0 c0602000; !vtop dc99dac0 c0603000; 
X86VtoP: Virt c0600000, pagedir dc99dac0
X86VtoP: PAE PDPE dc99dad8 - 00000000a95c4801
X86VtoP: PAE PDE a95c4018 - 00000000a95c4863
X86VtoP: PAE PTE a95c4000 - 00000000acec1863
X86VtoP: PAE Mapped phys acec1000
Virtual address c0600000 translates to physical address  acec1000 .
X86VtoP: Virt c0601000, pagedir dc99dac0
X86VtoP: PAE PDPE dc99dad8 - 00000000a95c4801
X86VtoP: PAE PDE a95c4018 - 00000000a95c4863
X86VtoP: PAE PTE a95c4008 - 00000000a92c2863
X86VtoP: PAE Mapped phys a92c2000
Virtual address c0601000 translates to physical address  a92c2000 .
X86VtoP: Virt c0602000, pagedir dc99dac0
X86VtoP: PAE PDPE dc99dad8 - 00000000a95c4801
X86VtoP: PAE PDE a95c4018 - 00000000a95c4863
X86VtoP: PAE PTE a95c4010 - 000000009dcc3863
X86VtoP: PAE Mapped phys 9dcc3000
Virtual address c0602000 translates to physical address  9dcc3000 .
X86VtoP: Virt c0603000, pagedir dc99dac0
X86VtoP: PAE PDPE dc99dad8 - 00000000a95c4801
X86VtoP: PAE PDE a95c4018 - 00000000a95c4863
X86VtoP: PAE PTE a95c4018 - 00000000a95c4863
X86VtoP: PAE Mapped phys a95c4000
Virtual address c0603000 translates to physical address  a95c4000 .
 
转换过程和前面一样，4个PDE分别对应着QQ进程的虚拟地址VA 0xC0600000, 0xC0601000, 0xC0602000, 0xC0603000。
这个实验也证明了另一点，页表是进程相关的，即使0xC0X00000是位于内核态的地址，随着进程的切换也会被映射到不同的物理地址上。（这打破了我以前的一个假设，之前我并没想这么多，而是简单的认为内核只有一个，里面的对象都是共享的，进程无关的，现在看来至少页表不是。 ）  
 
再来看看开始的那个问题，  0xC0603000对应的并不是DirBase表示的物理地址，为什么呢？
我并没有确切的答案，  猜想是这样，象鸡和蛋的关系，要将虚拟地址转化成为物理地址，必须要有一个物理地址作为引子，也需要PDE的物理地址，这是必需且没有办法避免的。如何访问到那些PDE呢？通过0xC0603000是行不通的，因为那是虚拟地址，本身就需要转换，并且是代表着当前进程的页表，是进程相关的，所以需要一个进程无关的，系统全局的数据来储存这些数据，这些就是DirBase。内核可以通过这些数据来转化虚拟地址，切换进程，访问各个进程的地址空间。
那么，另一个问题是，  DirBase为什么不使用各个进程 中0xC0603000对应的物理地址？ 比如以Windbg和QQ为例，DirBase分别是183f3000和a95c4000。
我还是不知道答案，  ，推测进程的页表会随着进程的切换而切换，而183f3000和a95c4000这2个物理页有可能被切换出去，这时它其中的值就没有意义了。而现在的值deb6d0c0和dc99dac0，这2个物理页应该是常驻物理内存的那种，这样内核可以在任何时候访问进程的PDE。
 
看看Windbg进程DirBase: deb6d0c0（对应的虚拟地址VA是0x8856d0c0），当前的进程已经切换成了QQ进程，
0: kd> !vtop dc99dac0 8856d0c0 
X86VtoP: Virt 8856d0c0, pagedir dc99dac0
X86VtoP: PAE PDPE dc99dad0 - 000000009dcc3801
X86VtoP: PAE PDE 9dcc3210 - 00000000dea009e3
X86VtoP: PAE Large page mapped phys deb6d0c0
Virtual address 8856d0c0 translates to physical address  deb6d0c0 .
可以清楚的看到，即使使用了QQ进程的DirBase，这个虚拟地址对应的内容还是deb6d0c0，没有变化。

再看看QQ进程的DirBase: dc99dac0（对应的虚拟地址是8a79dac0）。
0: kd> !vtop dc99dac0 8a79dac0 
X86VtoP: Virt 8a79dac0, pagedir dc99dac0
X86VtoP: PAE PDPE dc99dad0 - 000000009dcc3801
X86VtoP: PAE PDE 9dcc3298 - 00000000dc8009e3
X86VtoP: PAE Large page mapped phys dc99dac0
Virtual address 8a79dac0 translates to physical address  dc99dac0 .
使用Windbg进程的DirBase测试一下，
0: kd> !vtop deb6d0c0 8a79dac0 
X86VtoP: Virt 8a79dac0, pagedir deb6d0c0
X86VtoP: PAE PDPE deb6d0d0 - 0000000055df2801
X86VtoP: PAE PDE 55df2298 - 00000000dc8009e3
X86VtoP: PAE Large page mapped phys dc99dac0
Virtual address 8a79dac0 translates to physical address  dc99dac0 .
 
可见，这些DirBase的内存页是进程无关，系统共享的，只需要知道这些DirBase，就能够顺藤摸瓜，找到所有进程的PDE，进而确认所有进程的页表。

你可能感兴趣的:(Windows内核)

  • 如何使用Kdrill检测Windows内核中潜在的rootkit FreeBuf- 工具windows
    关于KdrillKdrill是一款用于分析Windows64b系统内核空间安全的工具，该工具基于纯Python3开发，旨在帮助广大研究人员评估Windows内核是否受到了rootkit攻击。需要注意的是，该项目与Python2/3兼容，无其他依赖组件，无需Microsoft符号或网络连接即可执行安全检查。KDrill还可以分析完整崩溃转储和内核崩溃转储（主要存储在中C:\Windows\MEMOR
  • 【系统安全】Windows内核权限提升漏洞（CVE-2024-30088） 李火火安全阁 漏洞复现系统安全系统安全windows
    文章目录前言一、漏洞概述二、影响范围三、漏洞复现四、修复建议前言CVE-2024-30088是Windows内核提权漏洞，由越南安全研究员@BùiQuangHiếu详细分析。漏洞发生在AuthzBasepCopyoutInternalSecurityAttributes函数中，该函数在复制SecurityAttributesList时会使用用户提供的指针，在校验及复制期间存在时间差，导致存在TOC
  • C语言蓝屏代码，简单就是高级 天若有情673 c语言开发语言
    本工具是一个Windows平台下的命令行应用程序，它利用Windows内核库ntdll.dll中的两个未公开函数RtlSetProcessIsCritical和RtlAdjustPrivilege，对运行中的进程进行权限提升和临界进程状态设置。此工具主要用于系统级开发、调试或特定场景下的系统行为研究，但使用不当可能会导致系统不稳定或崩溃。主要功能：权限提升：通过调用RtlAdjustPrivile
  • Windows内核面试题（持续更新，目前完成度30%约1.8万字） 虚构之人 c++win内核内核面试c++
    WINDOWS内核编程问题与答案1.WDK和SDK的区别是什么2.WDK全称叫做3.如何创建WDK程序4.WinDbg如何连接虚拟机5.Windows内核符号表的作用6.如何设置内核符号表与源文件7.如何设置断点与源码调试8.什么时候共享内核空间9.内核模块与驱动程序的区别是什么10.内核模块运行在什么空间11.PsGetCurrentProcessId函数的作用是什么12.System进程的作用
  • MiniFilter 项目总结 Mr. Zheng 驱动开发驱动开发
    MiniFilter项目总结文章目录MiniFilter项目总结WhyWhat什么是驱动什么是过滤驱动实现流程注册并启动过滤驱动（FltRegisterFilter）前过滤函数后过滤函数其他解释提示附录Why  初次开发驱动项目，谨以记录不堪的开发经历，推荐驱动书籍谭文陈铭霖的《Windows内核安全和驱动开发》，张帆史彩成的《驱动开发技术详解》。慢慢摸索着驱动开发项目，就像一个婴儿探索世界一样，
  • windows内核开发学习笔记十七：IRP 和 IO_STACK_LOCATION 的交互 jyl_sh 系统内核操作系统windows内核系统内核操作系统windows内核C/C++驱动程序
    windows内核开发学习笔记十七：IRP和IO_STACK_LOCATION的交互前面两篇学习笔记分别介绍了IRP和IO_STACK_LOCATION，整个设备栈来处理这个IRP，但是每个设备都应该有自己的参数信息，这个参数信息就是通过IO_STACK_LOCATION来保管的，那么IRP是怎么保管IO_STACK_LOCATION的呢？本文我们来分析一下IRP和IO_STACK_LOCATIO
  • windows内核开发学习笔记十八：IRP 处理的标准模式 jyl_sh 系统内核操作系统windows内核系统内核windows内核操作系统C/C++驱动程序
    windows内核开发学习笔记十八：IRP处理的标准模式在Windows内核中的请求基本上是通过I/ORequestPacket完成的。I/Omanager--->Dispatchroutine--->StartIoroutine--->ISR--->DPCroutine--->I/Omanager一、建立一个IRPIRP的生存期从调用I/Omanagerfunction建立IRP开始，你可以使用
  • windows内核开发学习笔记四十六：事件追踪（ETW） jyl_sh 系统内核windows内核操作系统操作系统系统内核windows内核驱动开发C/C++
    Windows提供了统一的跟踪和记录事件的机制，称为ETW（EventTracingForWindows）。用户模式应用程序和内核模式驱动程序都可以使用ETW来记录事件。ETW是直接由内核支持的事件记录机制。在它的框架结构中，共有三种组件：控制器（Control）：负责启动、停止或配置事件记录会话。提供者（Provider）：负责向ETW注册自己的事件类，并接受控制器的命令，以便启动或者停止它们所
  • windows内核开发学习笔记十五：IRP结构 jyl_sh 系统内核操作系统windows内核驱动开发C/C++操作系统Windows内核系统内核
    windows内核开发学习笔记十五：IRP结构IRP(I/ORequestPackage)在windows内核中，有一种系统组件——IRP，即输入输出请求包。当上层应用程序需要访问底层输入输出设备时，发出I/O请求，系统会把这些请求转化为IRP数据，不同的IRP会启动I/O设备驱动中对应的派遣函数。一、IRP类型由于IRP是响应上层应用程序的。可想而知，IRP类型是与上层对底层设备的访问类型相对应
  • windows内核开发笔记十：PAGED_CODE在驱动开发中的作用 jyl_sh 操作系统windows内核系统内核内核驱动编程操作系统VCwindows编程
    windows内核开发笔记十：PAGED_CODE在驱动开发中的作用#ifDBG#definePAGED_CODE()\if(VideoPortGetCurrentIrql()>1/*APC_LEVEL*/){\VideoPortDebugPrint(0,"Video:PageablecodecalledatIRQL%d\n",VideoPortGetCurrentIrql());\ASSERT(
  • windows内核开发笔记十一：IRQL级别调用说明 jyl_sh 系统内核操作系统windows内核内核操作系统驱动程序VCC++/C
    windows内核开发笔记十一：IRQL级别调用说明IRQL是InterruptReQuestLevel，中断请求级别。处理器在一个IRQL上执行线程代码。IRQL是帮助决定线程如何被中断的。在同一处理器上，线程只能被更高级别IRQL的线程能中断。每个处理器都有自己的中断IRQL。常见的IRQL级别有四个：Passive、APC、Dispatch、DIRQL。PASSIVE_LEVELIRQL最低
  • windows内核开发笔记八：内核开发回调函数基本介绍和基本使用场景 jyl_sh 系统内核操作系统windows内核内核操作系统驱动开发C/C++WIndows内核
    windows内核开发笔记八：内核开发回调函数基本介绍和基本使用场景1.回调函数基本定义-函数指针要理解回调函数，首先要理解函数和函数指针，通俗点儿说，函数指针是一个指向特定函数的指针。函数的类型由其参数及返回类型共同决定，与函数具体名称无关。示例代码如下：inttestFun1(intparam1,longparam2,floatparam3);//普通函数定义该函数的类型为int(int,lo
  • 实战讲解Linux进程内存空间 子牙老师 linux汇编c++计算机底层
    哈喽，我是子牙，一个很卷的硬核男人深入研究计算机底层、Windows内核、Linux内核、Hotspot源码……聚焦做那些大家想学没地方学的课程。为了保证课程质量及教学效果，一年磨一剑，三年先后做了这些课程：手写JVM、手写OS、带你用纯汇编写OS、手写64位多核OS、实战Linux内核…最近抽空把之前对Linux进程内存空间的研究整理了一下，分享给大家。依然，这篇文章与你以前看到的所有相关文章或
  • Windows 编程 PDF书籍 熊猫Devin 书籍windowspdf
    [Microsoft.NET企业级应用架构设计].(埃斯波西托等)链接:https://pan.baidu.com/s/1b6AeQK3mb4erSZ3VMofeIw密码:fphr[WINDOWS内核原理与实现]链接:https://pan.baidu.com/s/1hZwuFbqge9UtkjTWUaN5SA密码:jjlo[深入浅出：Visual.C.入门、进阶与应用实例]链接:https://
  • Windows电脑无法睡眠解决办法 undefine攻城狮 windows使用问题windows笔记本电脑
    原因电脑无法休眠的原因，是打开离开模式策略后，windows内核会持续调用CPU资源，导致系统一直在运行而无法关闭。关闭后就好了。解决步骤修改注册表操作步骤如下:按win+R，输入regedit，打开注册表编辑页面。输入如下指令，修改Attributes值为2。参照图片HKLM\SYSTEM\CurrentControlSet\Control\Power\PowerSettings\238C9FA
  • 2013图书列表 greshem
    agile_book_list.pl1.1.软件调试实战2.2.日臻完善：软件调试与优化典型应用3.3.Windows高级调试4.4.软件调试张银奎2-15.5.软件调试张银奎2-26.6.天书夜读：从汇编语言到Windows内核编程17.7.ROOTKITS——Windows内核的安全防护8.8.寒江独钓——Windows内核安全编程9.9.Windows内核原理与实现10.10.Windows
  • Windows内核理论基础学习 Sciurdae. Windows基础CTF学习笔记windows学习单片机Reverse笔记开发语言
    文章目录前言Windosw内核理论基础Windows体系结构CPU权限级别内存空间布局Windows内核结构硬件抽象层（HAL）内核层执行体层设备驱动程序文件系统/存储管理网络Windows子系统窗口管理图形设备接口系统线程和系统进程内核基本概念处理器模式内存管理进程和线程管理中断和异常同步内核重要数据结构内核对象SSDTPEBTEB注册表前言近俩天的学习-Windows内核基础的学习笔记。算是一
  • linux与windows内核哪个难学,国产操作系统为何都基于Linux内核？又和Windows像？ 老妪
    【每日科技网】近年来，国产操作系统不断更新迭代，优化完善，性能更加稳定，软硬件兼容性更强，也得到了越来越多用户的关注，常用软件越来越多。中兴新支点操作系统如中兴新支点操作系统是基于Linux内核的，其设计和Windows有点类似，即使是新用户也会觉得比较熟悉。而操作方面也是和Windows系统相似，新用户不会难以适应，降低了时间成本。处理图片有和PS类似的GIMP，制图有CAD。社交聊天有微信和Q
  • 代码签名工具有哪些？好用的数字签名工具推荐 沃通WoTrus 安全资讯windowsmicrosoft代码签名证书代码签名工具
    代码签名（Codesigning）是对各类软件代码文件进行数字签名，以确认软件发行者身份并保证软件在签名后未被篡改，它使用数字证书来识别软件的发布商，使用哈希算法来确保软件的完整性。代码签名机制借助PKI密码技术及数字证书，规范了软件的发行，帮助开发者和最终用户建立安全信任的软件发布环境和使用环境。Windows内核代码.sys文件、ActiveX文件、.exe和.dll文件、JavaApplet
  • 硬核子牙：我准备写一本《带你手写64位多核操作系统》的书！ 子牙老师 1024程序员节网络操作系统linux汇编
    哈喽，我是子牙，一个很卷的硬核男人深入研究计算机底层、Windows内核、Linux内核、Hotspot源码……聚焦做那些大家想学没地方学的课程。为了保证课程质量及教学效果，一年磨一剑，三年先后做了三个课程：手写JVM、手写OS及带你用纯汇编写OS、手写64位多核OS及Linux内核…没错！如标题所说，我准备写书了！你一定很想知道我为什么突然决定开始写书了吧，毕竟这几年那么多小伙伴建议我写书我都以
  • 揭秘Linux内核线程切换底层实现 子牙老师 汇编c语言linux
    哈喽，我是子牙，一个很卷的硬核男人深入研究计算机底层、Windows内核、Linux内核、Hotspot源码……聚焦做那些大家想学没地方学的课程。为了保证课程质量及教学效果，一年磨一剑，三年先后做了这些课程：手写JVM、手写OS、带你用纯汇编写OS、手写64位多核OS、实战Linux内核…今天想跟大家聊什么呢？线程切换，一个很抽象的话题。为什么说抽象呢？因为线程是一个很抽象的东西，切换也是一个很抽
  • 源码级揭秘Linux内核启动流程 子牙老师 linux操作系统
    哈喽，我是子牙，一个很卷的硬核男人。深入研究计算机底层、Windows内核、Linux内核、Hotspot源码……聚焦做那些大家想学没地方学的课程今天这篇文章给大家分享一下Linux内核的启动流程。为什么要分享这个话题呢？所谓万丈高楼平地起，如果我们想玩转Linux内核，我们既要了解它的前世，又要了解它的今生，还要了解它的未来。启动流程就是Linux内核的前世，对于理解Linux内核，里面包含了太
  • Linux内核中，CPU是如何读写数据的 子牙老师 linux操作系统计算机底层
    哈喽，我是子牙，一个很卷的硬核男人深入研究计算机底层、Windows内核、Linux内核、Hotspot源码……聚焦做那些大家想学没地方学的课程。为了保证课程质量及教学效果，一年磨一剑，三年先后做了这些课程：手写JVM、手写OS、带你用纯汇编写OS、手写64位多核OS、实战Linux内核…这篇文章聊什么呢？如题。比如你写了这样的代码代码的运行效果就是在屏幕上输出这个进程的ID及字符串：ziya。如
  • 【父子进程/AES/XTEA/SMC】赛后复盘 蚁景网络安全 stm32AES安全
    官方wp:进程重影技术：进程重映像利用了Windows内核中的缓存同步问题，它会导致可执行文件的路径与从该可执行文件创建的映像节区所报告的路径不匹配。通过在一个诱饵路径上加载DLL，然后卸载它，然后从一个新路径加载它，许多WindowsAPI将返回旧路径。这可能可以欺骗安全产品，使其在错误的路径上查找加载的映像。主要创建方式就是先打开一个新文件，然后把这个文件挂到删除列表上，在关闭文件句柄后文件就
  • Windows内核编程基础篇之文件读/写操作 PandaMohist Windows内核编程文件读写操作
    打开文件后，最重要是的操作在是对文件的读/写。读写的方法是对称的知识参数输入与输出方向不同。读取文件内容一般用ZwReadFile，写文件一般用ZwWriteFile。先看看ZwReadFile结构吧：NTSTATUSZwReadFile(_In_HANDLEFileHandle,_In_opt_HANDLEEvent,_In_opt_PIO_APC_ROUTINEApcRoutine,_In_o
  • 6.3 Windows驱动开发：内核枚举IoTimer定时器 微软技术分享 《灰帽黑客：攻守道》windows驱动开发IoTimer定时器枚举
    内核I/O定时器（KernelI/OTimer）是Windows内核中的一个对象，它允许内核或驱动程序设置一个定时器，以便在指定的时间间隔内调用一个回调函数。通常，内核I/O定时器用于周期性地执行某个任务，例如检查驱动程序的状态、收集性能数据等。今天继续分享内核枚举系列知识，这次我们来学习如何通过代码的方式枚举内核IoTimer定时器，内核定时器其实就是在内核中实现的时钟，该定时器的枚举非常简单，
  • 6.2 Windows驱动开发：内核枚举SSSDT表基址 微软技术分享 《灰帽黑客：攻守道》windows驱动开发c++SSSDT
    在Windows内核中，SSSDT（SystemServiceShadowDescriptorTable）是SSDT（SystemServiceDescriptorTable）的一种变种，其主要用途是提供Windows系统对系统服务调用的阴影拷贝。SSSDT表存储了系统调用的函数地址，类似于SSDT表，但在某些情况下，Windows系统会使用SSSDT表来对系统服务进行引导和调用。SSSDT表的存
  • [网友LionD8的毕业论文]Windows2000 内核级进程隐藏、侦测技术 黑夜路人 windowshookstructbyteservicesystem
    Windows2000内核级进程隐藏、侦测技术指导老师：龙老师学生：LionDB学号：0137506摘要信息对抗是目前计算机发展的一个重要的方向，为了更好的防御，必须去深入的了解敌人进攻的招式。信息对抗促使信息技术飞速的发展。下面我选取了信息对抗技术的中一个很小一角关于windows内核级病毒隐藏技术和反病毒侦测技术作为议题详细讨论。关键字：内核，拦截，活动进程链表，系统服务派遣表，线程调度链Ab
  • Windows2000 内核级进程隐藏、侦测技术 cybermanLee windowshookstructbyteservicesystem
    Windows2000内核级进程隐藏、侦测技术指导老师：龙老师学生：LionDB学号：0137506摘要信息对抗是目前计算机发展的一个重要的方向，为了更好的防御，必须去深入的了解敌人进攻的招式。信息对抗促使信息技术飞速的发展。下面我选取了信息对抗技术的中一个很小一角关于windows内核级病毒隐藏技术和反病毒侦测技术作为议题详细讨论。关键字：内核，拦截，活动进程链表，系统服务派遣表，线程调度链Ab
  • Windows2000 内核级进程隐藏、侦测技术[毕业论文] 觉鸿 个人愚文windowshookstructbyteservicesystem
    Windows2000内核级进程隐藏、侦测技术指导老师：龙老师学生：LionDB学号：0137506摘要信息对抗是目前计算机发展的一个重要的方向，为了更好的防御，必须去深入的了解敌人进攻的招式。信息对抗促使信息技术飞速的发展。下面我选取了信息对抗技术的中一个很小一角关于windows内核级病毒隐藏技术和反病毒侦测技术作为议题详细讨论。关键字：内核，拦截，活动进程链表，系统服务派遣表，线程调度链Ab
  • web报表工具FineReport常见的数据集报错错误代码和解释 老A不折腾 web报表finereport代码可视化工具
    在使用finereport制作报表，若预览发生错误，很多朋友便手忙脚乱不知所措了，其实没什么，只要看懂报错代码和含义，可以很快的排除错误，这里我就分享一下finereport的数据集报错错误代码和解释，如果有说的不准确的地方，也请各位小伙伴纠正一下。   NS-war-remote=错误代码\:1117 压缩部署不支持远程设计 NS_LayerReport_MultiDs=错误代码
  • Java的WeakReference与WeakHashMap bylijinnan java弱引用
    首先看看 WeakReference wiki 上 Weak reference 的一个例子： public class ReferenceTest { public static void main(String[] args) throws InterruptedException { WeakReference r = new Wea
  • Linux——（hostname）主机名与ip的映射 eksliang linuxhostname
    一、 什么是主机名 无论在局域网还是INTERNET上，每台主机都有一个IP地址，是为了区分此台主机和彼台主机，也就是说IP地址就是主机的门牌号。但IP地址不方便记忆，所以又有了域名。域名只是在公网（INtERNET)中存在，每个域名都对应一个IP地址，但一个IP地址可有对应多个域名。域名类型 linuxsir.org 这样的； 主机名是用于什么的呢？ 答：在一个局域网中，每台机器都有一个主
  • oracle 常用技巧 18289753290
    oracle常用技巧 ①复制表结构和数据   create table  temp_clientloginUser as   select distinct userid from tbusrtloginlog ②仅复制数据 如果表结构一样 insert into  mytable  select  * &nb
  • 使用c3p0数据库连接池时出现com.mchange.v2.resourcepool.TimeoutException 酷的飞上天空 exception
    有一个线上环境使用的是c3p0数据库，为外部提供接口服务。最近访问压力增大后台tomcat的日志里面频繁出现 com.mchange.v2.resourcepool.TimeoutException: A client timed out while waiting to acquire a resource from com.mchange.v2.resourcepool.BasicResou
  • IT系统分析师如何学习大数据 蓝儿唯美 大数据
    我是一名从事大数据项目的IT系统分析师。在深入这个项目前需要了解些什么呢？学习大数据的最佳方法就是先从了解信息系统是如何工作着手，尤其是数据库和基础设施。同样在开始前还需要了解大数据工具，如Cloudera、Hadoop、Spark、Hive、Pig、Flume、Sqoop与Mesos。系 统分析师需要明白如何组织、管理和保护数据。在市面上有几十款数据管理产品可以用于管理数据。你的大数据数据库可能
  • spring学习——简介 a-john spring
    Spring是一个开源框架，是为了解决企业应用开发的复杂性而创建的。Spring使用基本的JavaBean来完成以前只能由EJB完成的事情。然而Spring的用途不仅限于服务器端的开发，从简单性，可测试性和松耦合的角度而言，任何Java应用都可以从Spring中受益。其主要特征是依赖注入、AOP、持久化、事务、SpringMVC以及Acegi Security 为了降低Java开发的复杂性，
  • 自定义颜色的xml文件 aijuans xml
    <?xml version="1.0" encoding="utf-8"?> <resources> <color name="white">#FFFFFF</color> <color name="black">#000000</color> &
  • 运营到底是做什么的？ aoyouzi 运营到底是做什么的？
    文章来源：夏叔叔（微信号：woshixiashushu），欢迎大家关注！很久没有动笔写点东西，近些日子，由于爱狗团产品上线，不断面试，经常会被问道一个问题。问：爱狗团的运营主要做什么？答：带着用户一起嗨。为什么是带着用户玩起来呢？究竟什么是运营？运营到底是做什么的？那么，我们先来回答一个更简单的问题——互联网公司对运营考核什么？以爱狗团为例，绝大部分的移动互联网公司，对运营部门的考核分为三块——用
  • js面向对象类和对象 百合不是茶 js面向对象函数创建类和对象
    接触js已经有几个月了,但是对js的面向对象的一些概念根本就是模糊的,js是一种面向对象的语言 但又不像java一样有class,js不是严格的面向对象语言 ,js在java web开发的地位和java不相上下  ,其中web的数据的反馈现在主流的使用json,json的语法和js的类和属性的创建相似   下面介绍一些js的类和对象的创建的技术   一:类和对
  • web.xml之资源管理对象配置 resource-env-ref bijian1013 javaweb.xmlservlet
    resource-env-ref元素来指定对管理对象的servlet引用的声明，该对象与servlet环境中的资源相关联 <resource-env-ref> <resource-env-ref-name>资源名</resource-env-ref-name> <resource-env-ref-type>查找资源时返回的资源类
  • Create a composite component with a custom namespace sunjing
    https://weblogs.java.net/blog/mriem/archive/2013/11/22/jsf-tip-45-create-composite-component-custom-namespace   When you developed a composite component the namespace you would be seeing would
  • 【MongoDB学习笔记十二】Mongo副本集服务器角色之Arbiter bit1129 mongodb
     一、复本集为什么要加入Arbiter这个角色 回答这个问题，要从复本集的存活条件和Aribter服务器的特性两方面来说。 什么是Artiber？ An arbiter does not have a copy of data set and cannot become a primary. Replica sets may have arbiters to add a
  • Javascript开发笔记 白糖_ JavaScript
    获取iframe内的元素 通常我们使用window.frames["frameId"].document.getElementById("divId").innerHTML这样的形式来获取iframe内的元素，这种写法在IE、safari、chrome下都是通过的，唯独在fireforx下不通过。其实jquery的contents方法提供了对if
  • Web浏览器Chrome打开一段时间后，运行alert无效 bozch Webchormealert无效
    今天在开发的时候，突然间发现alert在chrome浏览器就没法弹出了，很是怪异。 试了试其他浏览器，发现都是没有问题的。 开始想以为是chorme浏览器有啥机制导致的，就开始尝试各种代码让alert出来。尝试结果是仍然没有显示出来。 这样开发的结果，如果客户在使用的时候没有提示，那会带来致命的体验。哎，没啥办法了 就关闭浏览器重启。   结果就好了，这也太怪异了。难道是cho
  • 编程之美-高效地安排会议 图着色问题 贪心算法 bylijinnan 编程之美
    import java.util.ArrayList; import java.util.Collections; import java.util.List; import java.util.Random; public class GraphColoringProblem { /**编程之美 高效地安排会议 图着色问题 贪心算法 * 假设要用很多个教室对一组
  • 机器学习相关概念和开发工具 chenbowen00 算法matlab机器学习
    基本概念： 机器学习(Machine Learning, ML)是一门多领域交叉学科，涉及概率论、统计学、逼近论、凸分析、算法复杂度理论等多门学科。专门研究计算机怎样模拟或实现人类的学习行为，以获取新的知识或技能，重新组织已有的知识结构使之不断改善自身的性能。 它是人工智能的核心，是使计算机具有智能的根本途径，其应用遍及人工智能的各个领域，它主要使用归纳、综合而不是演绎。 开发工具 M
  • [宇宙经济学]关于在太空建立永久定居点的可能性 comsci 经济
           大家都知道,地球上的房地产都比较昂贵,而且土地证经常会因为新的政府的意志而变幻文本格式........        所以,在地球议会尚不具有在太空行使法律和权力的力量之前,我们外太阳系统的友好联盟可以考虑在地月系的某些引力平衡点上面,修建规模较大的定居点
  • oracle 11g database control 证书错误 daizj oracle证书错误oracle 11G 安装
    oracle 11g database control 证书错误  win7 安装完oracle11后打开 Database control 后，会打开em管理页面，提示证书错误，点“继续浏览此网站”，还是会继续停留在证书错误页面 解决办法： 是 KB2661254 这个更新补丁引起的，它限制了 RSA 密钥位长度少于 1024 位的证书的使用。具体可以看微软官方公告：
  • Java I/O之用FilenameFilter实现根据文件扩展名删除文件 游其是你 FilenameFilter
    在Java中，你可以通过实现FilenameFilter类并重写accept(File dir, String name) 方法实现文件过滤功能。 在这个例子中，我们向你展示在“c:\\folder”路径下列出所有“.txt”格式的文件并删除。 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16
  • C语言数组的简单以及一维数组的简单排序算法示例，二维数组简单示例 dcj3sjt126com carray
    # include <stdio.h> int main(void) { int a[5] = {1, 2, 3, 4, 5}; //a 是数组的名字 5是表示数组元素的个数，并且这五个元素分别用a[0], a[1]...a[4] int i; for (i=0; i<5; ++i) printf("%d\n",
  • PRIMARY, INDEX, UNIQUE 这3种是一类 PRIMARY 主键。 就是 唯一 且 不能为空。 INDEX 索引，普通的 UNIQUE 唯一索引 dcj3sjt126com primary
    PRIMARY, INDEX, UNIQUE 这3种是一类PRIMARY 主键。 就是 唯一 且 不能为空。INDEX 索引，普通的UNIQUE 唯一索引。 不允许有重复。FULLTEXT 是全文索引，用于在一篇文章中，检索文本信息的。举个例子来说，比如你在为某商场做一个会员卡的系统。这个系统有一个会员表有下列字段：会员编号   INT会员姓名  
  • java集合辅助类 Collections、Arrays shuizhaosi888 CollectionsArraysHashCode
      Arrays、Collections   1 ）数组集合之间转换 public static <T> List<T> asList(T... a) { return new ArrayList<>(a); }      a）Arrays.asL
  • Spring Security（10）——退出登录logout 234390216 logoutSpring Security退出登录logout-urlLogoutFilter
           要实现退出登录的功能我们需要在http元素下定义logout元素，这样Spring Security将自动为我们添加用于处理退出登录的过滤器LogoutFilter到FilterChain。当我们指定了http元素的auto-config属性为true时logout定义是会自动配置的，此时我们默认退出登录的URL为“/j_spring_secu
  • 透过源码学前端 之 Backbone 三 Model 逐行分析JS源代码 backbone源码分析js学习
    Backbone 分析第三部分  Model 概述： Model 提供了数据存储，将数据以JSON的形式保存在 Model的 attributes里， 但重点功能在于其提供了一套功能强大，使用简单的存、取、删、改数据方法，并在不同的操作里加了相应的监听事件， 如每次修改添加里都会触发 change，这在据模型变动来修改视图时很常用，并且与collection建立了关联。
  • SpringMVC源码总结（七）mvc:annotation-driven中的HttpMessageConverter 乒乓狂魔 springMVC
    这一篇文章主要介绍下HttpMessageConverter整个注册过程包含自定义的HttpMessageConverter，然后对一些HttpMessageConverter进行具体介绍。 HttpMessageConverter接口介绍： public interface HttpMessageConverter<T> { /** * Indicate
  • 分布式基础知识和算法理论 bluky999 算法zookeeper分布式一致性哈希paxos
      分布式基础知识和算法理论 BY [email protected] 本文永久链接：http://nodex.iteye.com/blog/2103218   在大数据的背景下，不管是做存储，做搜索，做数据分析，或者做产品或服务本身，面向互联网和移动互联网用户，已经不可避免地要面对分布式环境。笔者在此收录一些分布式相关的基础知识和算法理论介绍，在完善自我知识体系的同
  • Android Studio的.gitignore以及gitignore无效的解决 bell0901 androidgitignore
    　　github上.gitignore模板合集，里面有各种.gitignore ： https://github.com/github/gitignore 　　自己用的Android Studio下项目的.gitignore文件，对github上的android.gitignore添加了 　　　　　　# OSX files　　　　　　//mac os下　　　　　　.DS_Store
  • 成为高级程序员的10个步骤 tomcat_oracle 编程
    What 软件工程师的职业生涯要历经以下几个阶段：初级、中级，最后才是高级。这篇文章主要是讲如何通过 10 个步骤助你成为一名高级软件工程师。   Why 得到更多的报酬！因为你的薪水会随着你水平的提高而增加 提升你的职业生涯。成为了高级软件工程师之后，就可以朝着架构师、团队负责人、CTO 等职位前进 历经更大的挑战。随着你的成长，各种影响力也会提高。
  • mongdb在linux下的安装 xtuhcy mongodblinux
    一、查询linux版本号： lsb_release -a  LSB Version:    :base-4.0-amd64:base-4.0-noarch:core-4.0-amd64:core-4.0-noarch:graphics-4.0-amd64:graphics-4.0-noarch:printing-4.0-amd64:printing-4.0-noa
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他