Windows 核心编程研究系列之二:读取指定物理内存地址中的内容

最新推荐文章于 2024-02-03 09:30:00 发布
最新推荐文章于 2024-02-03 09:30:00 发布
阅读量8.6k 收藏 5
点赞数
CC 4.0 BY-SA版权
分类专栏： Asm 文章标签： windows 编程 attributes caching 汇编
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/mydo/article/details/1449536
本文探讨了在Windows NT中，如何通过MmMapIoSpace函数、操作物理内存对象以及关闭分页机制等三种方法，读取已知物理内存地址的内容。详细介绍了每种方法的实现步骤和注意事项。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

 

[原创/讨论]Windows核心编程研究系列之二:

<
了解本专栏 订阅专栏 解锁全文 超级会员免费看
驱动 ReadPhysicalMemory 读写 物理内存 参考代码 win7 64
编程论坛
06-11 6067
#pragma warning( disable: 4100 4103 4146 4213)NTSTATUS ReadPhysicalMemory(char *startaddress, UINT_PTR bytestoread, void *output);UINT_PTR KnownPageTableBase = 0;void VirtualAddressToIndexes(QWORD add...
Windows核心编程 第十七章 -内存映射文件（下）
天使也掉毛
12-07 441
-内存映射文件
【Windows 逆向】内存地址分析 ( 内存条 | 虚拟内存 | 内存地址及寻址范围 | 内存地址与数据的关系 )
让 学习 成为一种 习惯 ( 韩曙亮 の 技术博客 )
11-13 2114
一、内存地址、 1、内存条、 2、虚拟内存、 3、内存地址及寻址范围、 二、内存地址与数据的关系、
获取一个进程的所有物理地址上的内存
weixin_30394251的博客
07-11 667
1. 获取进程的所有PTE表项，从而得到所有物理地址 　　参考：https://www.cnblogs.com/pengdonglin137/p/6802108.html 　　通过/proc/pid/pagemap 　　 1 #include <stdio.h> 2 #include <stdlib.h> 3 #include <unistd...
驱动开发：内核物理内存寻址读写
Gefangenes的博客
06-30 1492
这种方式的优点是它能够更快地访问内存，因为它避免了虚拟内存管理的开销，通过直接读写物理内存，驱动程序可以绕过虚拟内存的保护机制，获得对系统中内存的更高级别的访问权限。需要注意的是，该代码并没有进行有效性检查，如没有检查读取的地址是否合法、读取的数据是否在用户空间，因此存在潜在的风险。需要注意的是，该函数还会进行一些错误处理，例如在读取页表项时，如果该项没有被设置为有效，函数将返回0，表示无法访问对应的物理地址。字段包含了进程的页表树的根节点的物理地址，通过它可以找到进程的页表树，从而实现虚拟内存的管理。
Windows内存管理 - 物理内存概念(Physical Memory Address)
wendyWJGU的博客
02-03 1195
Windows内存管理 - 物理内存概念(Physical Memory Address)
【内存管理的艺术】：Windows核心编程中的高效内存策略
[【内存管理的艺术】：Windows核心编程中的高效内存策略](https://www.dotnetcurry.com/images/csharp/garbage-collection/garbage-collection.png) # 摘要 本文综述了内存管理的基础概念、Windows内存管理机制、...
【系统崩溃分析】：Windows核心编程中的故障排除技术与案例
![【系统崩溃分析】：Windows核心编程中的故障排除技术与案例]... # 摘要 本文系统地分析了系统崩溃现象，重点介绍了Windows操作系统的架构及其核心编程基础，讨论了内存转储和崩溃转储文件的分析技术，以及通过故障...
Windows核心编程（十三）Windows内存体系结构
woshibendangao的专栏
04-01 818
一、进程虚拟地址空间 1、每个进程都有自己的虚拟地址空间。对于32位操作系统来说，它的地址空间是4GB。这是因为32位指针可以表示从0x00000000到0xFFFFFFFF之间的任一值。对于64位的操作系统来说有0到2的64次方之间的任一值。 2、由于每个就进程都有自己的地址空间，因此每个进程都只能访问属于自己的地址空间而不能访问其他进程的空间。这保护了进程，也是之所以我
32位/64位WINDOWS驱动之物理地址读写内存方法4
a756598009的博客
07-08 1427
自写函数 通过PID切换到目标进程环境 计算出物理地址把物理地址映射到当前进程 不使用时需要用ZwUnmapViewOfSection取消映射//转换成 物理地址的方式 读取进程虚拟地址。
Windows核心编程 进程内存访问
★匆匆★的专栏
03-09 1040
http://www.cppblog.com/zjj2816/archive/2007/11/15/36670.html 1.3  虚拟内存访问 每个进程都拥有自己的虚拟地址空间，那么怎样才能访问这个空间呢？这就需要用到Windows API函数。这些函数直接与编写程序相关，因而更受软件工程师的关注。有关这方面的函数较多，这里介绍几个重要的函数。 1.3.1  获取系统信
内核空间怎么访问物理地址
dragon_cdut的博客
04-25 4551
1，ioremap：把一个物理内存地址点映射为一个内核指针，被映射数据的长度由size参数设定。该函数的实质是把一块物理区域二次映射到一个可以从驱动程序里访问的虚拟地址上去。 >ioremap void * __ioremap(unsigned long phys_addr, unsigned long size, unsigned long flags) phys_addr：要映射的起
用户态进程如何得到虚拟地址对应的物理地址？
lx123010的专栏
10-10 1817
一般我们不需要从用户态得到进程虚拟地址对应的物理地址，因为一般来说用户进程是完全不关心物理地址的。 少数应用场景下，用户可能会关心，比如在用户态做DMA的场景（如DPDK之类的）。还有一些场景，比如想调试剖析每一页的内存占用情况，是否swap出去了等。 从用户态得到虚拟地址对应的物理地址，我们不可能去walk进程的page table，也没有权限。不过还好内核给我们提供了一个接口，叫pagemap，而且，这个接口与硬件的体系架构无关。在/proc/pid/下面有个文件叫pagemap，它会每个page，
Windows获取物理内存的2种方式 - 随笔记录
weixin_30273931的博客
08-25 685
1 typedef enum _SYSTEM_INFORMATION_CLASS { 2 SystemBasicInformation, 3 SystemProcessorInformation, // obsolete...delete 4 SystemPerformanceInformation, 5 Sy...
驱动开发相关函数
wlj1973的专栏
06-09 885
驱动开发相关函数 标签： 驱动开发函数  分类： 开发资料2007-10-19 04:40函数速查: http://msdn2.microsoft.com/en-us/library/aa491184.aspx1.判断系统版本BOOLEAN<br />  RtlIsNtDdiVersionAvailable(<br />    IN ULONG  Version<br />    );<br />2.系统补丁版本BOOLEAN<br />  RtlIsServicePackVersionInstalled(
Retrieving MmPhysicalMemoryBlock regardless of the NT version.
10-15 1550
 Here is a method I’m using in the next version of Win32DD (1.2), to retrieve MmPhysicalMemoryBlock regardless of the NT Version. The main problem with KDDEBUGGER_DATA64 structure is the version dep
内核态进程管理器Intercessor和实现细节
jingzu的专栏
11-27 2250
 标 题: 【原创】内核态进程管理器Intercessor和实现细节 作 者: greatcsk 时 间: 2007-09-05,20:20 链 接: http://bbs.pediy.com/showthread.php?t=51157 BLOG原文：http://www.csksoft.net/blog/post/Intercessor_taskmgr.html 相关文件： 已经修
c语言写的程序如何读取物理地址,物理地址读写驱动 - simpower的个人空间 - OSCHINA - 中文开源技术交流社区...
weixin_29232507的博客
05-18 1517
正文没有用MmMapIoSpace，用了映射的方式对物理地址数据进行读写，之前测试MmMapIoSpace在win10较高版本用不了，貌似是不支持了。然后利用映射的方式测试的时候可以在win10下运行。用法和效果如下，加载驱动后，Read.exe用来读取物理地址的数据，限制为0x100字节大小，当然可以通过修改驱动代码来读取任意字节，我这里只是给了个demo；Write.exe则是对指定的物理地址...
如果物理地址直通，windows是要直接读写和总线域相同的存储域地址，应该怎样操作？
最新发布
02-22
<think>嗯，用户问的是关于物理地址直通的情况下，Windows如何直接读写与总线域相同存储域地址的问题。首先，我需要确认用户所说的“物理地址直通”具体指的是什么。可能涉及直接访问硬件内存，比如在驱动开发或内核级编程中绕过操作系统内存管理的情况。 用户可能是开发者，特别是从事底层系统开发或驱动开发的工程师，他们可能需要直接操作物理内存来进行硬件调试或性能优化。这种情况下，用户可能遇到了需要绕过Windows内存管理机制，直接访问特定物理地址的需求。 接下来，我需要回忆Windows的内存管理机制。在Windows中，应用程序通常使用的是虚拟地址，由操作系统通过页表映射到物理地址。直接访问物理地址在用户态是不允许的，因为这需要内核权限。所以，用户可能需要在驱动程序中实现这样的操作，或者使用某些内核调试工具。 用户提到“总线域相同的存储域地址”，这可能是指物理地址与总线地址一致的情况，即不需要地址转换。这可能在某些嵌入式系统或特定硬件平台上出现。在这种情况下，用户需要确保他们的代码能够正确访问这些地址，而不会导致系统崩溃或硬件错误。 然后，我需要考虑如何在内核模式下访问物理地址。常见的方法包括使用MmMapIoSpace函数将物理地址映射到内核的虚拟地址空间，或者使用MDL（Memory Descriptor List）来锁定内存页面并获取虚拟地址。另外，在调试环境中，使用WinDbg的物理内存查看命令也是一种方法，但这主要用于调试而非实际运行时代码。 用户可能已经尝试过常规的虚拟内存访问方法，但由于地址转换问题无法正确访问目标物理地址。因此，他们需要更底层的访问方式。这时候，需要提醒用户注意安全性问题，直接操作物理内存可能导致系统不稳定或硬件损坏，特别是在多处理器环境中需要考虑同步问题。 此外，用户可能在使用某些硬件设备，如FPGA或自定义硬件，这些设备需要直接通过物理地址进行通信。在这种情况下，正确的做法是在驱动程序中实现物理地址的映射和访问，确保内存的缓存一致性，比如使用非缓存内存或正确设置内存属性。 总结用户的潜在需求：他们需要在Windows环境下，以内核模式直接访问特定的物理地址，可能是为了与硬件设备进行低延迟的数据交换或调试目的。需要提供具体的内核API函数使用示例，并强调安全性和正确性的注意事项。</think>在 Windows 中直接访问物理地址（尤其是需要绕过虚拟内存管理、直接读写总线域对应的物理内存）需通过内核驱动或调试工具实现。以下是操作的核心方法及注意事项： --- ### **核心原理** - **物理地址直通**：即绕过虚拟地址转换，直接操作物理内存地址（例如硬件寄存器、DMA 缓冲区等）。 - **操作系统限制**：Windows 用户态程序无法直接访问物理地址，需在内核态（驱动）或调试模式下操作。 --- ### **操作方法** #### **1. 内核驱动实现** 在驱动中通过 **`MmMapIoSpace`** 或 **`MmAllocateContiguousMemory`** 将物理地址映射到内核虚拟地址空间： ```c #include <wdm.h> // 示例：映射物理地址到内核虚拟地址 PVOID MapPhysicalAddress(ULONG_PTR PhysicalAddress, SIZE_T Size) { PHYSICAL_ADDRESS physAddr; physAddr.QuadPart = PhysicalAddress; // 映射物理地址（非缓存模式，适用于硬件寄存器） PVOID pMappedAddress = MmMapIoSpace( physAddr, Size, MmNonCached ); if (pMignedAddress == NULL) { DbgPrint("映射物理地址失败！\n"); return NULL; } return pMappedAddress; } // 解除映射 void UnmapPhysicalAddress(PVOID pMappedAddress, SIZE_T Size) { MmUnmapIoSpace(pMignedAddress, Size); } ``` **使用示例**： ```c // 访问物理地址 0x20000000 的 4 字节数据 ULONG_PTR targetPhysAddr = 0x20000000; PVOID pVirtAddr = MapPhysicalAddress(targetPhysAddr, sizeof(ULONG)); *(volatile ULONG*)pVirtAddr = 0x12345678; // 写入数据 UnmapPhysicalAddress(pVirtAddr, sizeof(ULONG)); ``` --- #### **2. 使用 WinDbg 调试器** 在 **内核调试模式** 下，通过 WinDbg 直接读写物理内存： ```bash # 查看物理地址内容（4字节） !dd 0x20000000 # 写入物理地址（4字节） !ed 0x20000000 0x12345678 # 查看内存映射关系（虚拟地址转物理地址） !vtop 0xfffff800`12345678 # 输入虚拟地址，输出对应物理地址 ``` --- #### **3. 用户态间接访问（需特殊配置）** **仅适用于特定硬件环境**（如嵌入式设备）： - 启用 **`/PAE`**（物理地址扩展）并在 BIOS 中关闭内存保护功能。 - 使用 `\\.\PhysicalMemory` 设备（需 Windows XP 及更旧系统，现代系统已禁用此功能）。 - **不推荐**：现代 Windows 因安全限制禁止用户态直接访问物理内存。 --- ### **关键注意事项** 1. **权限与稳定性**： - 物理地址操作需在内核驱动中实现，且需 **管理员权限** 加载驱动。 - 错误操作（如写入无效地址）可能导致系统蓝屏（BSOD）或硬件损坏。 2. **内存属性配置**： - 使用 `MmMapIoSpace` 时需指定正确的缓存类型： - `MmNonCached`：适用于硬件寄存器（强制无缓存）。 - `MmCached`：普通内存（需手动刷新缓存）。 3. **物理地址范围有效性**： - 确保目标物理地址属于可访问的硬件区域（如 PCI BAR 空间、预留内存区域）。 - 避免访问操作系统已占用的内存区域（如内核代码段）。 4. **DMA 与缓存一致性**： - 若涉及 DMA 操作，需调用 `KeFlushIoBuffers` 或使用 `MmAllocateContiguousMemorySpecifyCache` 确保缓存一致性。 --- ### **典型应用场景** - **硬件寄存器操作**：直接配置 PCI 设备的控制寄存器。 - **DMA 缓冲区访问**：与硬件共享物理内存以实现零拷贝数据传输。 - **调试与分析**：通过 WinDbg 检查物理内存内容（如分析固件漏洞）。 --- ### **常见问题** #### **Q1：访问物理地址时系统蓝屏？** - 可能原因： - 地址无效（如未映射的物理地址）。 - 内存保护机制触发（如 SMEP/SMAP）。 - 解决方案： - 检查物理地址是否属于设备预留区域（如通过 ACPI 表或硬件手册确认）。 - 禁用驱动签名强制验证（仅测试环境）：`bcdedit /set testsigning on`。 #### **Q2：如何获取设备的物理地址？** - **PCI 设备**：通过 PCI BAR（Base Address Register）读取： ```c ULONG_PTR pciBar = 0; PCI_COMMON_CONFIG pciConfig; ReadPciConfigSpace(pciDevice, &pciConfig, sizeof(pciConfig)); pciBar = pciConfig.u.type0.BaseAddresses[0] & 0xFFFFFFF0; // 示例：第一个 BAR ``` #### **Q3：物理地址与总线地址不一致时如何处理？** - 某些平台（如 ARM）存在总线地址与物理地址的转换，需通过 **IOMMU** 或硬件手册中的地址偏移修正： ```c // 示例：修正总线地址偏移 #define BUS_TO_PHYS_OFFSET 0x80000000 ULONG_PTR physAddr = busAddr - BUS_TO_PHYS_OFFSET; ``` --- ### **总结** - **内核驱动是唯一可靠方案**：通过 `MmMapIoSpace` 或 `MmAllocateContiguousMemory` 安全访问物理地址。 - **调试场景优先使用 WinDbg**：通过 `!dd`、`!ed` 命令快速读写物理内存。 - **严格验证地址范围**：避免因错误地址导致系统崩溃。 - **谨慎操作**：物理地址直通属于底层高风险操作，需充分测试。
评论 4
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

大熊猫侯佩

赏点钱让我买杯可乐好吗 ;)

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值