![](https://img-blog.csdnimg.cn/20201014180756724.png?x-oss-process=image/resize,m_fixed,h_64,w_64)
驱动
老白_
这个作者很懒,什么都没留下…
展开
-
页帧的寻找
一、内核对物理内存的管理(MmPfnDatabase)Windows通过几个全局变量来对物理内存进行管理:MmPfnDatabase,页帧数据库(也叫FPN数据库),是MMPFN结构体类型的数组,它的索引是物理地址页帧号。1: kd> dq mmpfndatabasefffff800`04119228 fffffa80`00000000 000001f4`00000040fffff800`04119238 00000000`00000390 00000000`00000000f..原创 2022-03-30 21:07:52 · 889 阅读 · 1 评论 -
4.MDL的相关知识
MDL函数命令:https://blog.csdn.net/cosmoslife/article/details/50395985MDL共享内存:https://blog.csdn.net/cosmoslife/article/details/50395985https://www.cnblogs.com/lzjsky/archive/2010/11/19/1881911.html原创 2021-05-25 14:18:40 · 151 阅读 · 0 评论 -
PEB
http://www.voidcn.com/article/p-mxtmqdwk-bcu.html这两天研究x64内 枚举进程模块(目前以PEB来枚举,断链无法显示),枚举64位进程还比较容易,但枚举32位进程刚开始没想通(经验少,知识也少,奋斗努力学啊)。后来才知道x64位系统有两个PEB结构,一个对应64位的 PEB64,一个对应32位的PEB32。这两个PEB对应两个内核API(原先不知道32位对应的API,搞了两天也不得知,后来开着词霸去国外论坛找,才找到,我滴个汗啊,外文不好累死人啊大哭,最终原创 2020-09-29 14:36:07 · 681 阅读 · 0 评论 -
Windbg技巧
在windbg中输入0: kd> ed nt!Kd_SXS_Mask 00: kd> ed nt!Kd_FUSION_Mask 0原创 2020-02-18 16:33:52 · 629 阅读 · 1 评论