windows怎么获取DirectoryTableBase （CR3）
除了从eprocess中获取以外。。还有什么获取思路？
谢谢大神们
怎么获取DirectoryTableBase （CR3）
- 写回答
- 好问题 0 提建议
- 关注问题
分享- 邀请回答
-
3条回答 默认 最新
- 2023-06-26 09:01微软技术分享的博客 在某些时候我们需要读写的进程可能存在虚拟内存保护机制，在该机制下用户的`CR3`以及`MDL`读写将直接失效，从而导致无法读取到正确的数据，本章我们将继续研究如何实现物理级别的寻址读写。首先，驱动中的物理页读写...
- 2025-12-09 20:13Haymow的博客 如果你的编译器安装了WDK可以进行内核编程的话，就可以通过进程对象EPROCESS->Pcb.DirectoryTableBase获得CR3寄存器中的值，这就是通常获得CR3寄存器值的两种方法。 在获得到CR3寄存器中的值后（CR3中的值是物理内存...
- 2018-01-20 19:47weixin_30765319的博客 不知道大家学习逆向技术的时候.有没有听说过什么驱动过保护.什么驱动读写xxx的.而今天就讲解一下其原理. PS:讲解原理还有简单的Demo.请大家学习逆向技术.并做好信息安全.而不是要求大家去做黑产. PS:只讲...
- 2017-08-03 10:40qq_35746383的博客 风叶林－资源最多的免费辅助教程论坛 -> 驱动保护 -> 反调试与反反调试内容收集帖 ...反调试技术在调试一些病毒程序的时候，可能会碰到一些反调试技术，也就是说，被调试的程序可以检测到自己是否被调
- 2015-03-14 13:53十三之一的博客 但是我们如果想编码实现获取页目录的话,不可能整天背个windbg吧,其实微软提供一个KPROCESS的结构来记录每个进程都有一个单独的页目录，用来映射进程所有页表的位置。 KPROCESS.DirectoryTableBase[0]; ...
- 2014-11-08 20:55zfdyq0的博客 每个进程都有一个单独的页目录，微软将它存放在 EPROCESS==>KPROCESS==>DirectoryTableBase[2] （未开启 PAE ） 与线性地址的对应关系： （开启 PAE ） 与线性地址的对应...
- 2008-03-06 15:35shakesky的博客 中取出当前进程，并从当前进程（EPROCESS->DirectoryTableBase）中得到页目录表来更新 KPCR 中 KTSS 中的 TSSCR3 的值与 CR3 寄存器中的值，（这也就是为什么 CR3 总指向当 前进程页目录地址）继续将当前进程...
- 没有解决我的问题, 去提问
