内核知识第九讲,32位下的分页管理,36位下的分页管理.以及64位下的分页管理

iBinary 2018-01-19 原文

内核知识第九讲,32位下的分页管理,36位下的分页管理.以及64位下的分页管理

      内核知识第九讲,32位下的分页管理,36位下的分页管理.以及64位下的分页管理

一丶熟悉WinDbg的常见命令.

dd 虚拟地址      显示内存.

!dd 加上!,        ! dd 物理地址     专门用于显示物理地址的.

!PTE  虚拟地址:   微软给你计算出PDE,和PTE的虚拟地址的位置.(自动查表并且进行操作)

例如随便求一个虚拟地址:

DD命令的使用:

当然, db则是一个字节一个字节显示, dQ则是八个字节显示.

!dd, 物理内存显示:

!PTE 查询页目录表和页表.

微软给的是虚拟地址,我们只需要再次进行DD 这个虚拟地址即可.

二丶寻址结构图

昨天我们讲解的是32为下4M+4K的做表方式.  一个页目录表.一个页表 (PDE,PTE),虚拟地址当作下表进行寻址动作.

然后还有一个寻址结构图

 

 1. 首先第一步,虚拟地址是段加偏移的方式  例如: CS:00401000

 2.而后,段CS,当作选择子去GDT表中查表.找到线性地址. 因为GDT微软不使用.所以GDT表中的段首地址是0,所以 0 + 我们的偏移,找到线性地址. 图中(linAddr)

 3.而后线性地址,拆分成索引.去查询页目录表. 而后继续查询页表.而后从页表中取出物理地址,加上虚拟地址的偏移.则是一个完整的物理地址.

  PS: 因为GDT没有使用,所以如果不开启分页保护.这个线性地址就是物理地址.但是现在开了,所以要查询物理地址,看下图

0-15是段选择子,0-31是虚拟地址. 段选择子去GDT查表.加上我们的虚拟地址就是物理地址. 而是否开启分页保护,就是修改CR0的标志位.上一篇已经讲过了.

这里查表,拆分成了索引.但是昨天我们只学习了4M+4K的查表方法.虚拟地址的前20位做索引. 查询.

但是32位下还有别的做表方式.

三丶32位下的PDE,PTE表,以及通用查表方法(通用: 指的是大同小异)

看一下32位下的做表的图:

 

32位系统下,PDE有1024项,每一项是4个字节,其中存储了页表的位置.

这个就是我们昨天就爱了各国的.

1.首先从CR3中取出页目录表(PDE)

2.虚拟地址作为下表查询PDE.

3.根据查询的PDE表项.找出PTE的位置.

4.根据索引.查询PTE的位置.

5.根据PTE中的内容.加上我们的虚拟地址的后12位,就得出了这个线性地址在物理地址的位置.

实战演练:

查询GDT虚拟地址的物理地址.

1.获取GDT的虚拟地址, 获取CR3的值.

VA =  8003F00

CR3 = 39000

2.查分虚拟地址.当作下表.查询页目录表的位置.

8003f000 保留低12位 = 8003f

查分为索引.

8003f = 10000000000000111111

对2进制分割. 分为前10位.后10位.从右往左分割. 前10位索引当作 PDE的下表. 后10位的索引当作PTE的下表.

1000000000           0000111111 

PDE = 1000000000 ,转为16进制 = 0x200

PTE = 0000111111   ,转为16进制 = 0x3f

由此得出下表.

3.根据下表进行查表.

CR3是PDE的首地址. 所以我们直接用WinDbg进行查表即可.

公式:

  物理地址 * 索引 *4, 为什么*4,因为PDE的一个表项是4个字节

由此得出页表的位置(PTE)

4.查询页表(PTE)

我们从PDE表项中,取出前20位,然后加上12位,继续进行查表.

为什么这样做.上一篇已经介绍了表格式了.

 

5.根据PTE的内容.找出物理地址的位置.

根据上图,我们已经找到物理地址了.

取出前20位,加上虚拟地址的后12位偏移.则是物理地址了.

找出了所在的物理地址了.

此时我们dd 虚拟地址.查看是否两块内存是一样的.

 

 至此.我们的查表已经完成.

但是.我们这样查询是错误的.为什么?

首先查询方法是正确的.类似于上面.我们已经正确的查询到了物理地址. 但为什么又说是错误的.

原因:

  操作系统在做分页管理的时候.不一定是4M+4k的这种表来做的. 有可能有更大的表.

所以我们要看标志位进行查表

四丶标志位介绍.

 

 上图介绍了标志位为什么.表项做多大的.

1. 如果PSE和PS位都为1.那么这个表就做成4MB的.

2.如果PS位为0.PSE位无效那么这个表就做成4kb的.

3.如果PAE为1,PS位为1,则表项做成2MB的.

 

我们要看标志位进行查表.

PAE位 (物理地址扩展): 存放在CR4寄存器的第五位.

PSE位 (页尺寸扩展): 存放在CR4寄存器的第4位.

PS位:  存放在PDE(页目录表的第7位)

上面所说的.都是从左往右的位.

比如: 

  CR4寄存器的值 = 0x34500

拆分:

  0011 0100 0110 0000 0000   第4位.第五位都是0.

索引我们要根据位来看看到底是什么表.

 

五丶32位表项.

从上面我们得知了第一种表现.是4KB的表项做法.每一个都是1024项的.

4kb表项

 

也就是我们上图做的.查表的是否根据上图去查表的.

4MB的页

这个就很简单了.发现了没有.上面少了一个页表. 我们从PDE中查表的时候.查出来直接就是物理地址了.

而且虚拟地址的偏移是22位了.所以最后我们加的是前10位.

而且下图也有说.

还把各种标志位的作用都说了.

查表方法同上面一样. 只不过最后加偏移的是否是 从PDE表中的所在物理地址的位置取出10位.然后加上我们的偏移即可.

例如我们从上面随便找个PDE的表

假设 PDE中的0003b163是物理地址.我们只需要取出前10位.然后加上我们的偏移即可.

0000 0000 00 + offset = 物理地址.

 

六丶开启PAE,36位表项.

在我们可以映射4G内存的是否. 内存发展速度大于CPU.此时已经8G内存了.如果访问

此时CPU厂家.就加了4根地址总线.以支持8G的访问.

而因为为了支持.所以表项变成了512个项了. 每一项8个字节了.

36位下4KB的分页

根据上图,我们可以看出.加了一个新表.

我们的虚拟地址索引的高2位要做为这个 新表的索引去查询. 

最后我们的12位偏移,要加上PTE中物理地址的24位才是我们的物理内存的位置.

而这种做表方法.只能说也是映射4G内存.只不过可以映射多个4G内存了.

查表方法和上面一样.

首先字节改变了. 每一项8个字节,而后最后我们是12位加上24位.得出物理地址.

 

 36位下2MB的分页

 

 

 

 也是同上.只不过少了一个PTE.查表动作少了一次而已.

.只不过计算的是否.要根据36位地址来计算.

看下图.

 

 2MB的

 

 第一张图,告诉了我们.我们进行查表的时候. 4KB的怎么加.

例如:

  我们以前查表是  !dd 3f000000 ,正好32位.而看上图.4KB的告诉了我们.

32位 – 35位当作基址查询.(4位) 要加上. 比如 !dd 00003f000000 正好满足36的地址进行查寻.

2MB的图是一样的.

 

七丶64位系统下的表项

64位CPU下的的表项.同32为系统的表项是一样的. 只不过变的更大了.

4kb的表项

和32位下一样.加了几张表.各种位都变大了.

2MB的分页

 

 

 64位扩展的2MB分页

64位下映射1GB的图

CR3. 当我们3环调用0环回调的是否.CR3是ring3的.

 

八丶为什么学习这些表.以及学这些表的作用

为什么学习. 因为到了0环.就是对抗了. 就比谁对操作系统了解.

比如我们熟悉上面的这些表的设计. 而且根据GDT,找出线性地址.根据线性地址找出对应的物理地址.

那么我们完全可以进行手动操作物理内存. 实现ReadProcessMemory和WriteProcessMemeory.

当然不会怎么简单.但是我们能操作内存了. 是不是就不用调用API了.我们自己实现了 内存读写功能.

举例子:

  假设游戏有保护.保护了API. 不让你读写内存. 给你HOOK了.各种检测. 但是我们不调用. 我们自己写一个.它怎么检测.

 

发表于 2018-01-19 03:29 iBinary 阅读() 评论() 编辑 收藏

 

版权声明:本文为iBinary原创文章,遵循 CC 4.0 BY-SA 版权协议,转载请附上原文出处链接和本声明。
本文链接:https://www.cnblogs.com/iBinary/p/8315085.html

内核知识第九讲,32位下的分页管理,36位下的分页管理.以及64位下的分页管理的更多相关文章

  1. 跟厂长学PHP内核(四):生命周期之开始前的躁动

    上一章我们对PHP的源码目录结构有了初步了解,本章我们继续从生命周期的维度对PHP进行剖析。 一、概览 生命周 […]...

  2. centos 内核

    CentOS7设置GRUB系统内核开机选单   方法一:(创建、查看、编辑、用命令设置) #根据/boot/目 […]...

  3. 1、了解嵌入式系统、arm、内核、驱动、OS、MMU等专有名词

    嵌入式系统:嵌入到对象体中的专用计算机系统 嵌入式系统与通用计算机不同之处:硬件可裁剪 嵌入式系统的特点: 专 […]...

  4. linux内核

    内核编程常常看起来像是黑魔法,而在亚瑟 C 克拉克的眼中,它八成就是了。Linux内核和它的用户空间是大不相同的:抛开漫不经心,你必须小心翼翼,因为你编程中的一个bug就会影响到整个系统。浮点运算做起来可不容易,堆栈固定而狭小,而你写的代...

  5. x64内核HOOK技术之拦截进程.拦截线程.拦截模块

    x64内核HOOK技术之拦截进程.拦截线程.拦截模块             x64内核HOOK技术之拦截进程 […]...

  6. 跟厂长学PHP内核(三):源码目录结构

    上篇文章我们已经介绍了源码分析工具的安装、配置以及调试方法,本文我们来讲述一下PHP源码的目录结构。 一、目录 […]...

  7. 在Ubuntu上编译安装linux内核详细过程

    在Ubuntu上编译安装linux内核详细过程 时间:20220414,版本:V0.1作者:robotech_erx1.预备1.1解释题目一个linux系统需要3个组件:内核、根文件系统、bootloader。不管是哪个发...

  8. 十四、linux内核裁剪

    一、下载解压linux内核源码1、进kernel官网下载源码 我这里下载的是5.4.191版本(仅做实验),为了和我ubuntu虚拟机的交叉编译环境匹配。 2、解压内核源码压缩包xz -cd linux-5.4.191.tar....

随机推荐

  1. ExtJS 实现的Web文件管理系统(1)

    上次的文章发了就等到了一个面试机会,还没成就来北京了上了一个.net培训班。这个是这里老师安排的作业,让用.n […]...

  2. Typora + 七牛云图床快速配置,告别手动上传图片!

    大家好,我是zeroing,本文将介绍关于 Typora 软件如何配置七牛云图床,实现图片即插即用,可以先看一 […]...

  3. 网络操作系统第八章习题:

    1.Windows Server 2008中,有哪些文件共享模式?答:(1)标准文件共享。       (2) […]...

  4. SQL 标量函数—–日期函数 day() 、month()、year()

    select day(createtime) from life_unite_product     R […]...

  5. vue项目中安装使用vux

    vux是个vue的移动端框架。 目前移动端UI框架这么多,为啥选择vux呢?vux虽然说是个个人维护项目,但是 […]...

  6. ChinaTest第二天

    ChinaTest第二天 2012年8月8号,大会第二天,也是”海葵”台风最接近上海的 […]...

  7. 集合类源码(三)Collection之List(CopyOnWriteArrayList, Stack)

    CopyOnWriteArrayList 功能 全名 public class CopyOnWriteArra […]...

  8. 我的学习资料

    说明:所有课程均来自网络分享整理,若侵犯了您的正当权利,请联系我们进行删除。 可分享:联系微信 weijiqi […]...

展开目录

目录导航