原文发表于百度空间，2010-01-02
==========================================================================

玩过Shadow SSDT Hook的都知道，在System进程中是无法访问win32k.sys的内存空间的，要想访问必须切换到csrss进程或者任意一个GUI进程。
问题一：为什么System进程里无法访问win32k.sys呢？
某同学的说法，"在System进程和非GUI进程里，win32k.sys被页换出了，所以无法访问"
win32k.sys作为GUI服务例程的载体，NtGdiXxxx,NtUserXxxx等GUI服务例程调用极其频繁。
所以，不管使用何种页置换算法，win32k几乎都不可能被页换出，因为它的使用频率太高了
真正的原因是因为win32k所占用的地址范围在System进程的页目录中没有相应的描述，也就是对应的PTE是无效的
下面来观察之：
先取得win32k.sys的地址：

可以知道模块地址为bf800000
下面切换到System进程空间:
kd> dt _EPROCESS 823a7660 ImageFileName
ntdll!_EPROCESS
   +0x174 ImageFileName : [16] "System"
kd> .process /i 823a7660 
kd> g
Break instruction exception - code 80000003 (first chance)
nt!RtlpBreakWithStatusInstruction:
80527da8 cc              int     3
kd> db bf800000
bf800000 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
bf800010 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
bf800020 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
bf800030 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
bf800040 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
bf800050 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
bf800060 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
bf800070 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
kd> !pte bf800000
               VA bf800000
PDE at 00000000C0602FE0    PTE at 00000000C05FC000
contains 0000000000000000
可以看到win32k无法访问，而且PTE是无效的。
切换到csrss.exe看看：
kd> dt _EPROCESS 8235ada0 ImageFileName
ntdll!_EPROCESS
   +0x174 ImageFileName : [16] "csrss.exe"
kd> .process /i 8235ada0 
kd> g
Break instruction exception - code 80000003 (first chance)
nt!RtlpBreakWithStatusInstruction:
80527da8 cc              int     3
kd> db bf800000
bf800000 4d 5a 90 00 03 00 00 00-04 00 00 00 ff ff 00 00 MZ..............
bf800010 b8 00 00 00 00 00 00 00-40 00 00 00 00 00 00 00 ........@.......
bf800020 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 ................
bf800030 00 00 00 00 00 00 00 00-00 00 00 00 e0 00 00 00 ................
bf800040 0e 1f ba 0e 00 b4 09 cd-21 b8 01 4c cd 21 54 68 ........!..L.!Th
bf800050 69 73 20 70 72 6f 67 72-61 6d 20 63 61 6e 6e 6f is program canno
bf800060 74 20 62 65 20 72 75 6e-20 69 6e 20 44 4f 53 20 t be run in DOS 
bf800070 6d 6f 64 65 2e 0d 0d 0a-24 00 00 00 00 00 00 00 mode....$.......
kd> !pte bf800000
               VA bf800000
PDE at 00000000C0602FE0    PTE at 00000000C05FC000
contains 00000000047BB063 contains 0000000005AA8221
pfn 47bb ---DA--KWEV    pfn 5aa8 C---A--KREV
清清楚楚，就是PTE的问题。由于System进程中该地址的PTE无效，使得我们明明知道这个地址，但就是无法访问。
问题二：为什么一定要切换到一个GUI进程空间？
我们可能都是这样认为的：GUI进程要调用GUI服务例程，而这些服务例程都在win32k.sys中，就必然会访问win32k.sys，所以win32k.sys的地址范围在GUI进程中必然是可以访问的。这个逻辑没有错误。按照这个逻辑来推断，一个没有任何GUI的进程空间里，是无法访问win32k.sys的。事实当真如此吗？
来切换到lsass.exe进程看看，这个进程负责本地安全认证，并没有任何GUI。
kd> dt _EPROCESS 821e6348 ImageFileName
ntdll!_EPROCESS
   +0x174 ImageFileName : [16] "lsass.exe"
kd> .process /i 821e6348 
kd> g
Break instruction exception - code 80000003 (first chance)
nt!RtlpBreakWithStatusInstruction:
80527da8 cc              int     3
kd> db bf800000
bf800000 4d 5a 90 00 03 00 00 00-04 00 00 00 ff ff 00 00 MZ..............
bf800010 b8 00 00 00 00 00 00 00-40 00 00 00 00 00 00 00 ........@.......
bf800020 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 ................
bf800030 00 00 00 00 00 00 00 00-00 00 00 00 e0 00 00 00 ................
bf800040 0e 1f ba 0e 00 b4 09 cd-21 b8 01 4c cd 21 54 68 ........!..L.!Th
bf800050 69 73 20 70 72 6f 67 72-61 6d 20 63 61 6e 6e 6f is program canno
bf800060 74 20 62 65 20 72 75 6e-20 69 6e 20 44 4f 53 20 t be run in DOS 
bf800070 6d 6f 64 65 2e 0d 0d 0a-24 00 00 00 00 00 00 00 mode....$.......
kd> !pte bf800000
               VA bf800000
PDE at 00000000C0602FE0    PTE at 00000000C05FC000
contains 00000000047BB063 contains 0000000005AA8221
pfn 47bb ---DA--KWEV    pfn 5aa8 C---A--KREV
可以清楚地看到，在一个非GUI进程中也可以访问!
又有同学说了，本来非GUI进程是无法访问win32k.sys的，可能是因为某个线程调用了GUI服务，导致产生了某种转换，使得win32k在一个非GUI进程里可以访问。
实际上，完成这个转换的函数就是PsConvertToGuiThread。
但是PsConvertToGuiThread实际上只做了两件事，一是给当前线程使用新的更大的内核栈空间，另外就是把KTHREAD->ServiceTable由KeServiceDescriptorTable切换为KeServiceDescriptorTableShadow。PsConvertToGuiThread完成这个切换之后，就可以正常调用Shadow SSDT中的GUI服务了，也就说，这当中并没有一个过程来完成向当前进程页目录中添加win32k.sys的地址对应的PTE这个过程，由此推断，当一个进程刚出生的时候，win32k.sys的地址就已经在页目录中有描述了，此时就已经可以访问。
空口无凭，实验观察之：
下一个PspCreateProcess断点，当此函数成功返回时，进程已经创建并插入PsActiveProcessLink中，来看一下
PROCESS 82161030 SessionId: 0 Cid: 0344    Peb: 7ffd5000 ParentCid: 02b0
    DirBase: 044402a0 ObjectTable: e20ae7b8 HandleCount:   1.
    Image: 
此时进程已经创建，但是还未创建第一个线程，我们在第一个线程运行时断下来。
可以看一下调用栈，此时这个线程刚刚出生，还未调用任何SSDT服务或Shadow SSDT服务.
kd> kvn
# ChildEBP RetAddr Args to Child              
00 f8acbd20 80660017 00000007 8055b140 8055b1fc nt!RtlpBreakWithStatusInstruction (FPO: [1,0,0])
01 f8acbd74 80534dd0 00000000 00000000 823a4030 nt!ExpDebuggerWorker+0x91 (FPO: [Non-Fpo])
02 f8acbdac 805c5a28 00000000 00000000 00000000 nt!ExpWorkerThread+0x100 (FPO: [Non-Fpo])
03 f8acbddc 80541fa2 80534cd0 00000001 00000000 nt!PspSystemThreadStartup+0x34 (FPO: [Non-Fpo])
04 00000000 00000000 00000000 00000000 00000000 nt!KiThreadStartup+0x16
来访问下win32k.sys看看：
kd> db bf800000
bf800000 4d 5a 90 00 03 00 00 00-04 00 00 00 ff ff 00 00 MZ..............
bf800010 b8 00 00 00 00 00 00 00-40 00 00 00 00 00 00 00 ........@.......
bf800020 00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00 ................
bf800030 00 00 00 00 00 00 00 00-00 00 00 00 e0 00 00 00 ................
bf800040 0e 1f ba 0e 00 b4 09 cd-21 b8 01 4c cd 21 54 68 ........!..L.!Th
bf800050 69 73 20 70 72 6f 67 72-61 6d 20 63 61 6e 6e 6f is program canno
bf800060 74 20 62 65 20 72 75 6e-20 69 6e 20 44 4f 53 20 t be run in DOS 
bf800070 6d 6f 64 65 2e 0d 0d 0a-24 00 00 00 00 00 00 00 mode....$.......
kd> !pte bf800000
               VA bf800000
PDE at 00000000C0602FE0    PTE at 00000000C05FC000
contains 00000000047BB063 contains 0000000005AA8221
pfn 47bb ---DA--KWEV    pfn 5aa8 C---A--KREV
完全可以正常访问!也就是说，在进程刚创建完成的时候，win32k.sys的地址就已经可以访问了，并不存在某种切换。而这个进程是系统自带的，一个标准的CUI程序。
MJ说win32k.sys和Session有关，也就是说，win32k.sys在Session Leader(Csrss.exe)及属于该Session的任何一个进程空间中都可以访问。
WindowsXP下系统服务和第一个登录用户共享同一个Session，即Session 0，Vista/Win7中采用了Session隔离，系统服务使用Session 0,第一个用户使用Session 1，其它依次类推。
在这两种系统中，都是遵守这个规则的。但是有一个特殊的不属于任何Session的进程，就是Session Manager(Smss.exe)。
切换到Smss.exe进程空间看一看：
kd> dt _EPROCESS 822474e0 ImageFileName
ntdll!_EPROCESS
   +0x174 ImageFileName : [16] "smss.exe"
kd> .process /i 822474e0 
kd> g
Break instruction exception - code 80000003 (first chance)
nt!RtlpBreakWithStatusInstruction:
80527da8 cc              int     3
kd> db bf800000
bf800000 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
bf800010 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
bf800020 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
bf800030 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
bf800040 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
bf800050 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
bf800060 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
bf800070 ?? ?? ?? ?? ?? ?? ?? ??-?? ?? ?? ?? ?? ?? ?? ?? ????????????????
kd> !pte bf800000
               VA bf800000
PDE at 00000000C0602FE0    PTE at 00000000C05FC000
contains 0000000000000000
在Session Manager的进程空间中，win32k.sys也是无法访问的，因为它不属于任何一个Session.
观察一下进程可以看到了：

也就是说，除了System进程和Smss进程，在其它任何一个属于某个Session进程内都可以访问win32k.sys，并非只有GUI进程才能访问。

PS:感谢某同学打破砂锅问到底的精神，才使我没有继续错下去。

转载于:https://www.cnblogs.com/achillis/p/10183203.html

【旧文章搬运】为什么win32k.sys在System进程空间无法访问相关推荐

  1. 为什么win32k.sys在System进程空间无法访问

    2010年01月02日 21:21 玩过Shadow SSDT Hook的都知道,在System进程中是无法访问win32k.sys的内存空间的,要想访问必须切换到csrss进程或者任意一个GUI进程 ...

  2. 【旧文章搬运】360安全卫士HookPort.sys完美逆向

    原文发表于百度空间,2009-11-08 这是第一次逆向一个企业级安全产品的核心代码,并完美替换原驱动正常工作 ============================================ ...

  3. 【旧文章搬运】PE感染逆向之修复(Serverx.exe专杀工具出炉手记)

    原文发表于百度空间,2008-10-4 看雪论坛发表地址:https://bbs.pediy.com/thread-73948.htm ================================ ...

  4. 【旧文章搬运】Windows中全局钩子DLL的加载过程

    原文发表于百度空间,2011-03-24 ========================================================================== 看雪上别 ...

  5. 【旧文章搬运】Windbg+Vmware驱动调试入门(一)---Windbg的设置

    原文发表于百度空间,2009-01-08 ========================================================================== Wind ...

  6. 【旧文章搬运】Win7可变对象头结构之InfoMask解析

    原文发表于百度空间,2010-08-11 ========================================================================== 对Win ...

  7. 【旧文章搬运】Windows内核常见数据结构(线程相关)

    原文发表于百度空间,2008-7-24 ========================================================================== 线程是进程 ...

  8. 【旧文章搬运】无Device的驱动如何通信

    原文发表于百度空间,2009-07-14 ========================================================================== 标准的驱 ...

  9. 番外：win32k.sys什么情况下会挂上PTE

    一.前因 在HOOK SSDT Shadow的时候老师说,必须要调用一个界面函数使自己成为GUI进程(线程),才会给这个进程挂上PTE,我对此表示怀疑,于是有了以下探讨 二.探究 1.首先来看一下sy ...

最新文章

  1. 批量导入数据到hive表中：假设我有60张主子表如何批量创建导入数据
  2. [微信开发] - 用户获取推广二维码
  3. java多线程notifyall_Java多线程:线程状态以及wait(), notify(), notifyAll()
  4. FreeMarkerConfigurer使用TemplateDirectiveModel时获取request、session
  5. 只有汇编能告诉你为什么
  6. [PowerShell]人人都值得学一点PowerShell实现自动化(2)有哪些可用的场景及方式？
  7. 根据id获取多维数组路径_程序员的进阶课-架构师之路（2）-数组
  8. java压缩zip文件中文乱码问题
  9. screw (螺丝钉) ~ 简洁好用的数据库表结构文档生成工具
  10. AngularJS.directive系列：嵌套directive的通讯及scope研究
  11. 数据结构实现时的注意事项
  12. [Python]关键字is和操作符==
  13. 规划极限编程阅读笔记03
  14. Maxwell软件的学习总结
  15. 使用Python破解通达信股票数据
  16. 全球及中国级联（模块化）流水线行业研究及十四五规划分析报告
  17. c语言中的圆方程,圆的方程练习题及答案
  18. python怎么过滤标点符号大全_python 过滤标点符号
  19. imputation文献-A systematic evaluation of single-cell RNA-sequencing imputation methods
  20. 祝老婆生日快乐（无内容）

热门文章

  1. 免费工具长尾，免费长尾词挖掘工具挖词的方法
  2. 机原自检——第4章 平面机构的力分析
  3. SEM——搜索引擎营销
  4. 《联想本有更好的路走》《杨元庆会不会掉队》《少帅杨元庆》
  5. 《MySQL 8从零开始学（视频教学版）》简介
  6. 《被讨厌的勇气》- 我们的不幸是谁的错
  7. 二、机器学习模型评估
  8. 【技术综述】人脸算法新热点，人脸编辑都有哪些方向，如何学习
  9. 第十届蓝桥杯国赛——北京两日游
  10. vue+echarts5 实现中国地图