使用ZwMapViewOfSection创建内存映射文件总结
2023-09-27 14:26:38 时间
标 题: 【原创】使用ZwMapViewOfSection创建内存映射文件总结
作 者: 小覃
时 间: 2012-06-15,02:28:36
链 接: http://bbs.pediy.com/showthread.php?t=152144
在写驱动搜索内核模块内存时,你是不是也经常会遇到BSOD?
原因是内核模块INIT节调用完成后就取消了映射。
解决这个问题鄙人的方法是,
自己来映射该内核模块文件内存进行内存操作。
我们使用ZwQuerySystemInformation遍历枚举模块,
得到模块名后使用ZwMapViewOfSection映射内存。
代码仅供参考!
PsGetCurrentProcessId()
也可以用NtCurrentProcess()代替。
以上代码在XPSP3 DDK下测试通过!*转载请注明来自看雪论坛@PEdiy.com
作 者: 小覃
时 间: 2012-06-15,02:28:36
链 接: http://bbs.pediy.com/showthread.php?t=152144
在写驱动搜索内核模块内存时,你是不是也经常会遇到BSOD?
原因是内核模块INIT节调用完成后就取消了映射。
解决这个问题鄙人的方法是,
自己来映射该内核模块文件内存进行内存操作。
我们使用ZwQuerySystemInformation遍历枚举模块,
得到模块名后使用ZwMapViewOfSection映射内存。
代码:
#define SEC_IMAGE 0x01000000 void* MapFileBaseAddress = NULL; HANDLE hFile = NULL; HANDLE hSection = NULL; /** 内存映射文件,返回基址: */ void* CreateMapFileAndGetBaseAddr( PUNICODE_STRING pDriverName ) { //HANDLE hFile; //HANDLE hSection; NTSTATUS status; SIZE_T size = 0; IO_STATUS_BLOCK io_status = {0}; OBJECT_ATTRIBUTES oa = {0}; InitializeObjectAttributes( &oa, pDriverName, OBJ_CASE_INSENSITIVE, 0, 0 ); status = ZwOpenFile(&hFile, FILE_EXECUTE | SYNCHRONIZE, &oa, &io_status, FILE_SHARE_READ, FILE_SYNCHRONOUS_IO_NONALERT); if(!NT_SUCCESS(status)) { DbgPrint("ZwOpenFile failed\n"); return NULL; } oa.ObjectName = 0; status = ZwCreateSection(&hSection, SECTION_ALL_ACCESS, &oa, 0, PAGE_EXECUTE, SEC_IMAGE, hFile); if(!NT_SUCCESS(status)) { DbgPrint("ZwCreateSection failed\n"); hFile = NULL; ZwClose(hFile); return NULL; } status = ZwMapViewOfSection(hSection, PsGetCurrentProcessId(), &MapFileBaseAddress, 0, 1024, 0, &size, ViewShare, MEM_TOP_DOWN, PAGE_READWRITE); if(!NT_SUCCESS(status)) { DbgPrint("ZwMapViewOfSection failed\n"); hSection = NULL; ZwClose(hSection); hFile = NULL; ZwClose(hFile); return NULL; } return MapFileBaseAddress; } 调用方法映射文件返回映射后基址, 代码: PVOID BaseAddress = NULL; UNICODE_STRING driverName; ...... RtlInitUnicodeString( &driverName, L"\\??\\C:\\Documents and Settings\\Administrator\\桌面\\111.sys" ); BaseAddress = CreateMapFileAndGetBaseAddr(&driverName); DbgPrint( "MapFile Return Address:%X\r\n", BaseAddress ); 释放清理: if( NULL != hFile ) ZwClose(hFile); if( NULL != hSection ) ZwClose(hSection);
PsGetCurrentProcessId()
也可以用NtCurrentProcess()代替。
以上代码在XPSP3 DDK下测试通过!*转载请注明来自看雪论坛@PEdiy.com
jpg 改 rar
相关文章
- EntityFramework Core依赖注入上下文方式不同造成内存泄漏了解一下?
- Windows核心编程 第十七章 -内存映射文件(上)
- 内存映射(Linux设备驱动程序)
- UWA学堂课程推荐:深度剖析PersistentManager.Remapper内存占用
- C# .Net 多进程同步 通信 共享内存 内存映射文件 Memory Mapped 转 VC中进程与进程之间共享内存 .net环境下跨进程、高频率读写数据 使用C#开发Android应用之WebApp 分布式事务之消息补偿解决方案
- PHP 中 ini_set() 修改 php 内存限制及检查内存限制方法
- SpringBoot上传文件 MultipartFile.getBytes 导致内存溢出
- QT中Qthread线程彻底销毁的实例与注意事项(防止线程资源内存泄露)
- 《操作系统真象还原》——0.8 代码中为什么分为代码段、数据段?这和内存访问机制中的段是一回事吗
- Objective-C类成员变量深度剖析--oc对象内存模型
- iOS开发ARC内存管理技术要点--ARC主要提供了4种修饰符,他们分别是:__strong,__weak,__autoreleasing,__unsafe_unretained
- 鸿蒙基础之Permanent 持久性内存对象 (HarmonyOS鸿蒙开发基础知识)
- 简述内存映射文件
- NIO之内存映射文件原理
- oracle 内存结构 share pool sql解析的过程
- 22内存文件操作
- 深入理解Java虚拟机-Java内存区域透彻分析
- 解读linux的/proc下的statm、maps、memmap内存信息文件