Windows中的虚拟地址分配
使用指令dt _EPROCESS 874ed030 观察EPROCESS结构体偏移为0x278的地方，这个地方就是系统拿来存放每个进程的虚拟地址空间的分配情况
输入!vad 874ed030+278 查看该平衡二叉树
Level是二叉树的层数 start是该块虚拟地址空间的起始地址 end为结束地址 commit为请求次数
写一段程序测试下
#include<stdio.h>
#include<Windows.h>
int main() {
system("pause");
PVOID base = VirtualAlloc(NULL, 0x1000, MEM_RESERVE, PAGE_NOACCESS);
printf("base:%p\r\n", base);
system("pause");
base = VirtualAlloc(base, 0x1000, MEM_COMMIT, PAGE_READWRITE);
printf("base:%p\r\n", base);
system("pause");
return 0;
}
首先找到程序VAD一开始的状态
申请一块内存之后
再重新修改属性 可以发现commit变为1，但是属性还是没改
打开CE 看内存 发现还是修改了的
VAD里面的结构为MMVAD
私有内存一般是MMVAD_SHORT
映射内存一般是MMVAD_LONG
kd> dt _MMVAD
nt!_MMVAD
+0x000 u1 : <unnamed-tag>
+0x004 LeftChild : Ptr32 _MMVAD
+0x008 RightChild : Ptr32 _MMVAD
+0x00c StartingVpn : Uint4B
+0x010 EndingVpn : Uint4B
+0x014 u : <unnamed-tag>
+0x018 PushLock : _EX_PUSH_LOCK
+0x01c u5 : <unnamed-tag>
+0x020 u2 : <unnamed-tag>
+0x024 Subsection : Ptr32 _SUBSECTION
+0x024 MappedSubsection : Ptr32 _MSUBSECTION
+0x028 FirstPrototypePte : Ptr32 _MMPTE
+0x02c LastContiguousPte : Ptr32 _MMPTE
+0x030 ViewLinks : _LIST_ENTRY
+0x038 VadsProcess : Ptr32 _EPROCESS
kd> dt _MMVAD_SHORT
nt!_MMVAD_SHORT
+0x000 u1 : <unnamed-tag>
+0x004 LeftChild : Ptr32 _MMVAD
+0x008 RightChild : Ptr32 _MMVAD
+0x00c StartingVpn : Uint4B
+0x010 EndingVpn : Uint4B
+0x014 u : <unnamed-tag>
+0x018 PushLock : _EX_PUSH_LOCK
+0x01c u5 : <unnamed-tag>
kd> dt _MMVAD_LONG
nt!_MMVAD_LONG
+0x000 u1 : <unnamed-tag>
+0x004 LeftChild : Ptr32 _MMVAD
+0x008 RightChild : Ptr32 _MMVAD
+0x00c StartingVpn : Uint4B
+0x010 EndingVpn : Uint4B
+0x014 u : <unnamed-tag>
+0x018 PushLock : _EX_PUSH_LOCK
+0x01c u5 : <unnamed-tag>
+0x020 u2 : <unnamed-tag>
+0x024 Subsection : Ptr32 _SUBSECTION
+0x028 FirstPrototypePte : Ptr32 _MMPTE
+0x02c LastContiguousPte : Ptr32 _MMPTE
+0x030 ViewLinks : _LIST_ENTRY
+0x038 VadsProcess : Ptr32 _EPROCESS
+0x03c u3 : <unnamed-tag>
+0x044 u4 : <unnamed-tag>
kd> dt _MMVAD_SHORT 876f4f50 -r1
nt!_MMVAD_SHORT
+0x000 u1 : <unnamed-tag>
+0x000 Balance : 0y00
+0x000 Parent : 0x8757afc0 _MMVAD //有无父节点
+0x004 LeftChild : (null)
+0x008 RightChild : (null) //有无左子树与右子树
+0x00c StartingVpn : 0xd0
+0x010 EndingVpn : 0xd0//起始页与结束页
+0x014 u : <unnamed-tag>//锁页
+0x000 LongFlags : 0x98000001
+0x000 VadFlags : _MMVAD_FLAGS
+0x018 PushLock : _EX_PUSH_LOCK
+0x000 Locked : 0y0
+0x000 Waiting : 0y0
+0x000 Waking : 0y0
+0x000 MultipleShared : 0y0
+0x000 Shared : 0y0000000000000000000000000000 (0)
+0x000 Value : 0
+0x000 Ptr : (null)
+0x01c u5 : <unnamed-tag>
+0x000 LongFlags3 : 0
+0x000 VadFlags3 : _MMVAD_FLAGS3
kd> dt _MMVAD_FLAGS 876f4f50+14
nt!_MMVAD_FLAGS
+0x000 CommitCharge : 0y0000000000000000001 (0x1)
+0x000 NoChange : 0y0//如果为1则不可改属性
+0x000 VadType : 0y000//类型
+0x000 MemCommit : 0y0
+0x000 Protection : 0y11000 (0x18)//保护
+0x000 Spare : 0y00
+0x000 PrivateMemory : 0y1
修改保护模式
kd> ed 876f4f50+14 86000001
kd> dt _MMVAD_FLAGS 876f4f50+14
nt!_MMVAD_FLAGS
+0x000 CommitCharge : 0y0000000000000000001 (0x1)
+0x000 NoChange : 0y0
+0x000 VadType : 0y000
+0x000 MemCommit : 0y0
+0x000 Protection : 0y00110 (0x6)
+0x000 Spare : 0y00
+0x000 PrivateMemory : 0y1
