MDL（内存描述符表）详解

关注

转载最新推荐文章于 2026-07-28 16:07:43 发布 4.7k 阅读 AI 写同款· GEO 优化 ›

32位/64位WINDOWS驱动之突破进程保护写只读内存驱动3 此方法相当于CE附加程序，然后进行写入只读的内存地址中（原理就是对只读内存地址进行赋予了写的权限）0x400000MmGetSystemAddressForMdlSafe 进行实际的映射操作，并设置MdlFlags的MDL_MAPPED_TO_SYSTEM_VA标志。MmProbeAndLockPages 并不将物理页面映射到内核地址空间，而仅锁定物理页面。阅读详情

以下的虚拟内存可以理解成逻辑内存，因为我觉得只有这样才能讲通下面所有的东西。以下的“未分页”指没有为页进行编码。

以下为MDL结构体（我很郁闷，我在MSDN上没有找到这个结构体）
typedef struct _MDL {
   struct _MDL *Next;   //下一个MDL
   CSHORT Size;       //大小
   CSHORT MdlFlags; //标志，保护属性等
   struct _EPROCESS *Process;//
   PVOID MappedSystemVa;
   PVOID StartVa;
   ULONG ByteCount;
   ULONG ByteOffset;
   } MDL, *PMDL;
如何使用MDL：
一个连续的虚拟内存地址范围可能是由多个分布（spread over）在不相邻的物理页所组成的。系统使用MDL（内存描述符表）结构体来表明虚拟内存缓冲区的物理页面布局。我们应该避免直接访问MDL。我们可以使用MS-Windows提供的宏，他们提供了对这个结构体基本

的访问。
·MmGetMdlVirtualAddress 获取缓冲区的虚拟内存地址
·MmGetMdlByteCount 获取缓冲区的大小（字节数）
·MmGetMdlByteOffset 获取缓冲区开端的物理页的大小（字节数）
·MmGetMdlPfnArray 获取记录物理页码的一个数组指针。
     我们可以用IoAllocateMdl函数来分配一个MDL。如果要取消分配，可是使用IoFreeMdl函数。或者，可以使用MmInitializeMdl来把一个之前定义的缓冲区定制成一个MDL。但是以上两种方式都不能初始化物理页码数组。
     对于在未分页池中分配的缓冲区，可以用MmBuidlMdlForNonpagedPool函数来初始化页码数组。对于可分页的内存，虚拟内存和物理内存之间的联系是暂时的，所以MDL的页码数组只在特定的环境和时间段有效，因为很可能其他的程序对它们进行重新分配，为了使其他的程序无法对他们进行修改和重新分配（在我们释放之前），我们就需要把这段内存锁定，防止其他程序修改，我们可以用MmProbeAndLockPages来实现，这个函数同时还为当前的布局初始化了页码数组。当我们用MmUnlockPages来释放被锁定的内存时，页码数组也会随之无效。
     假如MDL指定的是映射一块内核级别的虚拟地址空间，那么我们要用MmGetSystemAddressForMdlSafe ，这样我们就能防止映射目标是来自用户模式的空间，而来自用户模式空间的物理页只能在用户模式上下文环境中使用，并且随时可能被清空。用函数进行申明后，就可以防止以上情况发生了。

以下这个函数是用于新创建一个MDL的：参数详解可翻阅MSDN
PMDL IoAllocateMdl(
    IN PVOID VirtualAddress,
    IN ULONG Length,
    IN BOOLEAN SecondaryBuffer,
    IN BOOLEAN ChargeQuota,
    IN OUT PIRP Irp OPTIONAL
    );
最后一个参数是指IRP（输入输出请求包），也就是将新建的这个MDL缓冲区和指定的IRP关联，为什么要关联？举个例子，比如网络驱动中就应该为每一个发送到本机的IP数据报建立一个临时缓冲区，而最终用户——应用程序要读取这个缓冲区的数据，必须使用IRP请求驱动程序来完成，所以要提取某个IP数据报，只要发送相关IRP给驱动程序，驱动程序遍历其创建的MDL链找到相应的MDL，然后进行数据提取和发送，请求处理完之后，驱动程序会自动清除这个MDL。一个IRP可以关联多个MDL，就像上面举的例子一样，一个IRP关联到多个IP数据报（也就是多个MDL）。当应用成语的某个IRP要求一个新的请求（可能是一个新的IP地址的IP数据报）时，驱动程序发现没有MDL与之联，这个时候该IP发送来一个IP数据报，这时驱动程序便建立一个MDL与之关联，如果这是第一个新建的与这个IRP关联的MDL，那么驱动程把该MDL的地址赋值给MdlAddress。如果不是第一个，那么将把新建的MDL放到上一个MDL的下一个单位，形成MDL 链。这就是MDL结构体中的第一个成员的含义所在。

总结：MDL就是描述一块虚拟内存的结构体，里面有个成员记录了多个页码，这些页码即处于各个不同物理地址的物理块的页号。

所以要对一块受系统保护的区域进行写操作的话，可以这样来修改它的保护属性：
1.创建一个MDL，显然里面的物理页号数组没有初始化     IoAllocateMdl
2.初始化页码数组，使之成为实际有效的MDL       MmBuildMdlForNonPagedPool
3.进行锁定，并且重新赋值新的保护属性为可读    MmProbeAndLockPages
4.获得我们所映射后的实际内存区域的虚拟地址    MmMapLockedPagesSpecifyCache

网上的很多代码是用于2000和其之前的OS的，很多函数都改了，方式也不一样了，以下代码用于在SSDT表所在的内核区映射一个MDL，并且修改其只读属性为可写的，然后固定这块内存，防止它被其他应用程序修改。

g_pmdlSystemCall =IoAllocateMdl

(KeServiceDescriptorTable.ServiceTableBase,KeServiceDescriptorTable.NumberOfServices*4,FALSE,FALSE,NULL);

if(!g_pmdlSystemCall)
return STATUS_UNSUCCESSFUL;

MmBuildMdlForNonPagedPool(g_pmdlSystemCall);//初始化MDL页码数组
//g_pmdlSystemCall->MdlFlags = g_pmdlSystemCall->MdlFlags | MDL_MAPPED_TO_SYSTEM_VA;// 改变MDL的flags为可读状态

MmProbeAndLockPages(g_pmdlSystemCall,KernelMode,IoWriteAccess);//在内存中锁定，并且指

明对它的改写权力

MappedSSDT=MmMapLockedPagesSpecifyCache( //映射被锁定内存，所谓映射，就是创建原来内存区的一个联合体，你

//修改了这个MDL，就是修改了它所描述的内存区

g_pmdlSystemCall,

KernelMode,

MeNonCached,//是否允许用作CPU缓冲区

FALSE,//当第二个参数为UserMode的时候才有效

NULL,//如果发生错误，直接返回NULL
); //MappedSSDT即映射后的SSDT地址

【注意】最后一个函数其实是大材小用了，只不过2000之后能得到映射缓冲区地址的函数中这个函数是最先进的被支持者，2000用的是MmMapLockedPages；

转载自：http://laokaddk.blog.51cto.com/368606/404588

收录于