|
1 / 1 / 0
Регистрация: 13.02.2016
Сообщений: 13
|
||||||
Read ProcessMemory from kernel driver29.03.2016, 01:13. Показов 4827. Ответов 9
Метки нет (Все метки)
Коллеги, помогите пожалста.
Использую код из примеров вокруг, но не все получается. Стопорнулся при попытке чтения под x64, как получить доступ к памяти процесса, например прочесть по RVA 0x401000? спасибо.
0
|
||||||
| 29.03.2016, 01:13 | |
|
Ответы с готовыми решениями:
9
NVIDIA Windows Kernel Mode Driver Принцип написания Kernel Mode Driver | Visual Studio Windows Kernel Driver developer (NDIS and TDI), Киев, $2000 |
|
Ушел с форума
|
|
| 29.03.2016, 15:02 | |
|
1. KeStackAttachProcess.
2. __try 3. Читаешь данные по нужному адресу. 3. В __finally делаешь KeUnstackDetachProcess(). Все. MmIsAddressValid не нужно, для юзермодных адресов есть __try/__except/__finally и ProbeForRead/ProbeForWrite. Можно и сразу читать память процесса, если есть его хэндл, см. функцию ZwReadVirtualMemory.
0
|
|
|
1 / 1 / 0
Регистрация: 13.02.2016
Сообщений: 13
|
|||||||
| 29.03.2016, 19:34 [ТС] | |||||||
0
|
|||||||
|
Ушел с форума
|
||
| 30.03.2016, 09:22 | ||
|
Это просто диапазон адресов от 0 до 0xFFFFFFFF (на x64 - до 0xFFFFFFFF`FFFFFFFF).
0
|
||
|
1 / 1 / 0
Регистрация: 13.02.2016
Сообщений: 13
|
||||||
| 30.03.2016, 13:30 [ТС] | ||||||
|
ясно,
на sysinternals форуме нашел пример через MDL:
0
|
||||||
|
Ушел с форума
|
||
| 30.03.2016, 14:09 | ||
|
У тебя есть процесс и некий адрес, память по которому нужно прочесть или изменить. Все. Если это юзермодная память, тогда два варианта: либо аттачишься к процессу (KeStackAttachProcess) и внутри __try/__except работаешь с нужным адресом, либо сразу дергаешь ZwReadVirtualMemory/ZwWriteVirtualMemory, что, по сути, одно и то же. Ядерную память можно читать, находясь в контексте любого процесса, но от ошибки доступа, например если ты попытаешься записать что-либо в память, у которой стоит доступ только на чтение, через __try/__except уже не спастись и система сразу вылетит в BSOD. Так что здесь нужно быть аккуратнее.
0
|
||
|
1 / 1 / 0
Регистрация: 13.02.2016
Сообщений: 13
|
||
| 30.03.2016, 16:24 [ТС] | ||
|
У меня картинка не складывается, получается после вызова KeStackAttachProcess()
я сразу попадаю в область памяти процесса? Вот этот самый некий адрес, каким образом я попадаю внутрь юзермодного процесса? Хендл моего процесса есть, после аттача я нахожусь в адресном пространстве моего процесса, к которому я приаттачился? Я правильно понимаю смысл функции?
0
|
||
|
Ушел с форума
|
|||||||||
| 30.03.2016, 17:44 | |||||||||
|
контекста и мы оказываемся в адресном пространстве нужного процесса. 0x7AFB244094 лежат интересующие тебя данные размером в DWORD. Сначала получаешь EPROCESS процесса, для этого есть функция PsLookupProcessByProcessId. Дальше делаешь KeStackAttachProcess. Все, сейчас ты уже в контексте нужного процесса. Далее читаешь данные по адресу 0x7AFB244094 (чтение внутри __try/__except, иначе легко нарваться на BSOD):
Альтернативный вариант - ZwOpenProcess, ZwReadVirtualMemory, ZwClose.
0
|
|||||||||
|
1 / 1 / 0
Регистрация: 13.02.2016
Сообщений: 13
|
|
| 30.03.2016, 21:00 [ТС] | |
|
Спасибо, пробую, но, чую, для глубокого понимания надо матчасть подтянуть.
Есть что-то толковое из литературы посоветовать? Примеры и форумы хорошо, но качественную книжку не заменят.
0
|
|
|
Ушел с форума
|
|
| 31.03.2016, 08:42 | |
|
Вот (специально собрал все в одном месте):
Документация и загрузки для разработчика драйверов
0
|
|
| 31.03.2016, 08:42 | |
|
Помогаю со студенческими работами здесь
10
Windows Kernel Driver developer (Installable File Systems), Киев, $2000 NVIDIA Windows Kernel Mode Driver был восстановлен. не могу разобраться с траблой Видеодрайвер NVIDIA Windows Kernel Mode Driver перестал отвечать и был успешно восстановлен
Видеодрайвер nvidia windows kernel mode driver перестал отвечать и был успешно восстановлен Искать еще темы с ответами Или воспользуйтесь поиском по форуму: |
|
Новые блоги и статьи
|
|||
|
SDL3 для Web (WebAssembly): Обработчик клика мыши в браузере ПК и касания экрана в браузере на мобильном устройстве
8Observer8 02.02.2026
Содержание блога
Для начала пошагово создадим рабочий пример для подготовки к экспериментам в браузере ПК и в браузере мобильного устройства. Потом напишем обработчик клика мыши и обработчик. . .
|
Философия технологии
iceja 01.02.2026
На мой взгляд у человека в технических проектах остается роль генерального директора. Все остальное нейронки делают уже лучше человека. Они не могут нести предпринимательские риски, не могут. . .
|
SDL3 для Web (WebAssembly): Вывод текста со шрифтом TTF с помощью SDL3_ttf
8Observer8 01.02.2026
Содержание блога
В этой пошаговой инструкции создадим с нуля веб-приложение, которое выводит текст в окне браузера. Запустим на Android на локальном сервере. Загрузим Release на бесплатный. . .
|
SDL3 для Web (WebAssembly): Сборка C/C++ проекта из консоли
8Observer8 30.01.2026
Содержание блога
Если вы откроете примеры для начинающих на официальном репозитории SDL3 в папке: examples, то вы увидите, что все примеры используют следующие четыре обязательные функции, а. . .
|
|
SDL3 для Web (WebAssembly): Установка Emscripten SDK (emsdk) и CMake для сборки C и C++ приложений в Wasm
8Observer8 30.01.2026
Содержание блога
Для того чтобы скачать Emscripten SDK (emsdk) необходимо сначало скачать и уставить Git: Install for Windows. Следуйте стандартной процедуре установки Git через установщик. . . .
|
SDL3 для Android: Подключение Box2D v3, физика и отрисовка коллайдеров
8Observer8 29.01.2026
Содержание блога
Box2D - это библиотека для 2D физики для анимаций и игр. С её помощью можно определять были ли коллизии между конкретными объектами. Версия v3 была полностью переписана на Си, в. . .
|
Инструменты COM: Сохранение данный из VARIANT в файл и загрузка из файла в VARIANT
bedvit 28.01.2026
Сохранение базовых типов COM и массивов (одномерных или двухмерных) любой вложенности (деревья) в файл, с возможностью выбора алгоритмов сжатия и шифрования.
Часть библиотеки BedvitCOM
Использованы. . .
|
SDL3 для Android: Загрузка PNG с альфа-каналом с помощью SDL_LoadPNG (без SDL3_image)
8Observer8 28.01.2026
Содержание блога
SDL3 имеет собственные средства для загрузки и отображения PNG-файлов с альфа-каналом и базовой работы с ними. В этой инструкции используется функция SDL_LoadPNG(), которая. . .
|