资源描述：
《直接内存搜索枚举内存的原理和实现.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。
1、个人收集整理勿做商业用途直接内存搜索枚举内存的原理和实现在5.x的内核中,进程的EPROCESＳ往往存放于ＭmSystemRangeStaｒｔ 至Sｙstem所属PＲOＣESS地址之间。 其中 MｍSystemRaｎｇeStart 是一个内核导出的常量，在32位标准内存模式下，他的值为x800０00０0,而在PAE 模式的系统中，这个值为0xC０00００00。对于Ｓystem所属EＰRＯCＥSS地址,可以通过驱动加载时 PsＧetCurreｎtProcesｓ（)获取，因为驱动的加载任务是在 ｓystem进ﻩ中完成的。 在上述区间的具体取值确定下来后, 接着就是要确定是否某一块内存片断
2、是一个有效的PRＯＣＥＳS结构。 在此首先需要确定 EＰRＯCＥSＳ在当前系统的表示。可以使用WinＤbg 的如下命令获取: kｄ>ｄt _eprocess下面摘录winXＰ环境中EPRＯCEＳS 的定义片断1： ｔ！_EPRＯCESＳ ＋0x０00 Pcb :_KＰROＣESS +0x06c PｒocesｓLｏck :＿EX_PUSH＿ＬOＣK +0x０70CreaｔｅTime :＿ＬARGE_INTEGER +0x０７8ExiｔＴｉmｅ :_LARＧＥ_IＮTEGER +0ｘ0８0ＲundowｎＰrotｅct:_EX＿RUNDＯWN＿REF ＋0x08４UniqｕeProc
3、essId : Ptr3２Ｖｏid +0x088ActｉveProｃessLｉnkｓ :_LIＳＴ_ENＴRＹ +０x0９0QuｏtaUsage : ［3]Ｕint4B＋0x09cQuｏtaPｅak:[3]Uint4B/…结构片断:ＥPROＣＥSS的定义 这个结构在WinＸＰ中的大小是 ０x２５C,可以从上面的代码片断中看出,许多信息，比如创建等都可以直接在这个结构体中获取。 为了验证一个 ＥPＲOCＥＳS 是否合法,需要考虑下面几个字段的数据： 0x078ExiｔTimｅ ： _LARGE_INTEGEＲ ０x1ｂ0Peｂ ：Ｐtr32_PEＢ 中，ExitTime记
4、录了该进程的退出时间。对于正在运行的进程，该项属性将永远为 0。pｅb指向进程环境块的指针,在所有ＥPＲＯCEＳＳ中,该数据区的高1６ 位应该相同。 除了这2项判断依据外, 还可以根据包装EPROCEＳS的ＯBJEＣＴ＿HEＡDER结构来作出判断。OBＪEＣT＿ＨＥADEＲ结构的定义如下： t!＿OBJECT_ＨＥADER＋0x000PointerCouｎｔ : Ｉnt4B +0ｘ004HandleCoｕnt : Inｔ4B个人收集整理勿做商业用途 +0x0０４NｅxtToFree : Ptr３2 Voiｄ+0x008 Tyｐｅ : Pｔr32_OBJECT_TYPE +0x00ｃN
5、ameＩnfoOfｆｓｅt :UChar +0x00dHanｄlｅInfoOｆｆset:ＵChaｒ +0ｘ0０eQuotaInfoOffset :UChaｒ +0x00ｆＦlags :ＵChar +0ｘ0１0ObjｅctCｒeateＩnｆｏ: Ptr32_OＢJＥCＴ_CREATE_INFORMAＴＩON +0ｘ0１０QｕotaBlockCｈarged：Ｐｔｒ３2Ｖoid ＋0x014SecurｉtyDescｒiｐtor:Ptr３2Vｏid+０x０1８Bｏdy :_QＵAD结构定义:OBJECT_HEＡDER 这个结构表示了一个内核对象,他出现于任何内核对象结构的头部
6、,也包括了EPROCＥSＳ头部。其中我们感兴趣的数据域是: +０x008Type : Ptr32 _OＢJECT_TＹPE 该指针指向了一个标示对象类别的结构体，所有EＰＲOCEＳS结构外层的 ＯBJＥCＴ＿HEAＤER结构中,这项属性值应该相同。 通过上述分析，通过搜索内存枚举进程的流程如下： 1）从MｍSystemRanｇeStａrｔ至SYＳTEＭ进程EＰROCESS地址依次搜索 ２)将当前地址赋值给一个EＰROCESＳ对象，将其中相关的数据域加以验证 ３) 如果是合法EPＲOCESＳ，则将其地址填入结果,同时控制搜索从当前位置＋ｓizeof（EPROCESS)开始 4）
7、继续下一次循环 以上方法还需要做的处理是： z获取一个标准的PEＢ指针,作为对照 z获取一个标准的OBJEＣT_ＴYPＥ指针,作为对照 z 由于 ＭmＳyｓteｍＲａngeStart 开始的内存并非连续的未分页内存,也就是说其地址空间并不是连续的,因而直接循环扫描将出现缺页错误,导致系统蓝屏崩溃。 由于目前sｙstem 的eproｃess地址是已知的,很自然的想法便是通过syｓtem epｒocesｓ中的数据作为对照数据。其中，OBJECＴ＿TY
