Windows 驱动: 消除核心内存的只读保护

最新推荐文章于 2025-04-26 13:09:28 发布

Rain7758

最新推荐文章于 2025-04-26 13:09:28 发布

阅读量2.4k

点赞数

CC 4.0 BY-SA版权

分类专栏： Windows 内核驱动文章标签： windows

本文链接：https://blog.youkuaiyun.com/IamRainLiang/article/details/2071702

Windows 内核驱动专栏收录该内容

5 篇文章

订阅专栏

本文介绍了一种在Windows NT/2000/XP系统中禁用核心内存保护的方法，通过修改CR0寄存器来实现只读内存区域的可写操作，并提供了重新启用内存保护的代码。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

在很多机器上 SSDT 表是不可写的，写即导致机器无提示崩溃重启。这是需要去除核心内存的写保护：

//----------------------------------------------------------------------
//
// 设置核心内存访问保护
//
//----------------------------------------------------------------------
//
// SpinLock protection
//
static KSPIN_LOCK gs_mmProtectionSpinLock;
static KIRQL gs_OldIrql;

static ULONG CR0VALUE = 0;

//
// initialize the global data structures, when the driver is loading
//
NTSTATUS
mmProtection_LoadInit()
{
//
KeInitializeSpinLock(&gs_mmProtectionSpinLock);
return STATUS_SUCCESS;
}

/*++

Routine Description:

禁用Windows NT/2000/XP的内存保护，使只读内存区可写

Arguments:

Return Value:

--*/
void mmDisableProtection()
{
KeAcquireSpinLock(&gs_mmProtectionSpinLock, &gs_OldIrql);  //--------{{
__asm
{
  mov eax, cr0
  mov CR0VALUE, eax
  and eax, 0xFFFEFFFF
  mov cr0, eax
}
}

/*++

Routine Description:

恢复Windows NT/2000/XP的内存保护

Arguments:

Return Value:

--*/
void mmEnableProtection()
{
__asm
{
  mov eax, CR0VALUE
  mov cr0, eax
}
KeReleaseSpinLock(&gs_mmProtectionSpinLock, gs_OldIrql);  //--------}}
}