练习逆向XP内核2-9-9-12和10-10-12分页的MmIsAddressValid函数

前言：这篇笔记记录逆向XP内核MmIsAddressValid函数的学习

这个MmIsAddressValid函数就是判断对一个传入的线性地址是否有效，这里的有效指的就是判断可以将其转换为对应的物理地址，那么其中肯定就有对应的PDE PTE，如果都存在的话，并且P位有效等，那么也就是一个有效的地址

这个函数里面还判断了相关的PDE的PS位，是否为大页，还有PTE的PAT位，这个PAT位后面还走了一个跳转的流程，这个不知道具体是干什么的

然后还有一个重要的知识点，就是通过逆向这个函数，你会发现操作系统在找线性地址对应的物理页的时候，它的整体流程，通过C0300000页目录基址，C0000000页表基址来进行寻找

如何寻找MmIsAddressValid内核函数的方法

知识点：

1、XP系统下的2-9-9-12分页模式通过内核文件ntkrnlpa.exe来进行观察

2、XP系统下的10-10-12分页模式通过内核文件ntoskrnl.exe来进行观察

都是逆向可以用两个工具一个是ida，一个是windbg，windbg的话直接u MmIsAddressValid L40即可，如下图所示

因为当前XP是10-10-12分页下的，所以拿内核文件ntoskrnl.exe来进行分析，这里通过IDA来进行分析，ALT+T来进行全局搜索字符串MmIsAddressValid，

如下图所示，我这里用的是全局搜索字符串，或者直接在左边函数列表中Ctrl+F来搜索也可以

 .text:0040AEC6 ; BOOLEAN __stdcall MmIsAddressValid(PVOID VirtualAddress)
.text:0040AEC6                 public MmIsAddressValid
.text:0040AEC6 MmIsAddressValid proc near              ; CODE XREF: sub_40AF1C+C↓p
.text:0040AEC6                                         ; sub_4129D8+2F5B↓p ...
.text:0040AEC6
.text:0040AEC6 VirtualAddress  = dword ptr  8
.text:0040AEC6
.text:0040AEC6 ; FUNCTION CHUNK AT .text:0041DDA5 SIZE 00000007 BYTES
.text:0040AEC6 ; FUNCTION CHUNK AT .text:0044F150 SIZE 00000019 BYTES
.text:0040AEC6
.text:0040AEC6                 mov     edi, edi
.text:0040AEC8                 push    ebp
.text:0040AEC9                 mov     ebp, esp
.text:0040AECB                 mov     ecx, [ebp+VirtualAddress]
.text:0040AECE                 mov     eax, ecx
.text:0040AED0                 shr     eax, 14h
.text:0040AED3                 mov     edx, 0FFCh
.text:0040AED8                 and     eax, edx
.text:0040AEDA                 sub     eax, 3FD00000h
.text:0040AEDF                 mov     eax, [eax]
.text:0040AEE1                 test    al, 1
.text:0040AEE3                 jz      loc_41DDA5
.text:0040AEE9                 test    al, al
.text:0040AEEB                 js      short loc_40AF11
.text:0040AEED                 shr     ecx, 0Ah
.text:0040AEF0                 and     ecx, 3FFFFCh
.text:0040AEF6                 sub     ecx, 40000000h
.text:0040AEFC                 mov     eax, ecx
.text:0040AEFE                 mov     ecx, [eax]
.text:0040AF00                 test    cl, 1
.text:0040AF03                 jz      loc_41DDA5
.text:0040AF09                 test    cl, cl
.text:0040AF0B                 js      loc_44F150
.text:0040AF11
.text:0040AF11 loc_40AF11:                             ; CODE XREF: MmIsAddressValid+25↑j
.text:0040AF11                                         ; MmIsAddressValid+44298↓j
.text:0040AF11                 mov     al, 1
.text:0040AF13
.text:0040AF13 loc_40AF13:                             ; CODE XREF: MmIsAddressValid+12EE1↓j
.text:0040AF13                 pop     ebp
.text:0040AF14                 retn    4
.text:0040AF14 MmIsAddressValid endp
...
...
.text:0044F150 ; START OF FUNCTION CHUNK FOR MmIsAddressValid
.text:0044F150
.text:0044F150 loc_44F150:                             ; CODE XREF: MmIsAddressValid+45↑j
.text:0044F150                 and     eax, edx
.text:0044F152                 mov     eax, [eax-3FD00000h]
.text:0044F158                 and     ax, 81h
.text:0044F15C                 cmp     al, 81h
.text:0044F15E                 jnz     loc_40AF11
.text:0044F164                 jmp     loc_41DDA5
.text:0044F164 ; END OF FUNCTION CHUNK FOR MmIsAddressValid

10-10-12分页逆向过程

位运算的知识点：

 .text:0040AEED                 shr     ecx, 0Ah
.text:0040AEF0                 and     ecx, 3FFFFCh

对于这两条，我一开始看不懂，为什么这样的位运算可以使得PDI*4096+PTI*4，然后我自己想了下，应该是获取10-10-12的 10 和10的时候，此时 >> 10 ，相当于少右移了2位，那么整体多左移了2位，那么对于PDI的话，其实就是右移了12位也就是2^(10+2)那么是*4096，而对于PTI的话就是右移了2位也就是2^(0+2)次，那么*4

思考

从这个函数的入口可以看到mov edi,edi的指令，好像没什么用，因为下面都没看到有使用该寄存器，实际上是用到的：

参考文章：https://blog.csdn.net/swanabin/article/details/17550897

很明显，两个字节的MOV EDI，EDI指令什么事情也不做？

那么，就有两个问题：

第一，为什么不直接从函数体开始而要从这条什么都不做的指令开始呢？

第二，即使需要在函数一开始空出两个字节，为什么不直接使用两条NOP指令，而要使用这条MOV指令呢？

在网上查阅一些资料后，得到了答案：

对于第一个问题，答案是为了实现hot-patching技术，即运行时修改一个函数的行为。修改过程如下：把MOV EDI, EDI修改为一条短跳转指令(一条短跳转指令恰好两个字节)，把MOV EDI, EDI上面的五个NOP修改为一条长跳转指令(一条长跳转指令恰好五个字节)，短跳转指令跳到长跳转指令上，长跳转指令跳到修改后的函数体上。

这个指令可以用在与0环交互的时候，比如中断门就需要两个字节，刚刚好满足条件，后面驱动篇章实现去写拷贝监控的项目中就会用到

参考文章： https://www.cnblogs.com/zpchcbd/p/15949802.html

对于第二个问题，答案是为了提高效率。执行一条MOV指令比执行两条NOP指令花费更少的时间。

注意点

逆向的时候可以看到，偏移有些写的是sub ecx, 40000000h和sub eax, 3FD00000h，实际上转换下为：

sub ecx, 40000000h -> add ecx, C0000000h

sub eax, 3FD00000h -> add eax, C0300000h

2-9-9-12分页逆向过程

这个是后面学了2-9-9-12以后补上的

2-9-9-12分页模式通过内核文件ntkrnlpa.exe来进行观察

同样的还是用IDA来进行分析

 .text:0043CA48 ; BOOLEAN __stdcall MmIsAddressValid(PVOID VirtualAddress)
.text:0043CA48                 public MmIsAddressValid
.text:0043CA48 MmIsAddressValid proc near              ; CODE XREF: sub_41ADD4+2F↑p
.text:0043CA48                                         ; sub_41AE26+29↑p ...
.text:0043CA48
.text:0043CA48 var_8           = dword ptr -8
.text:0043CA48 var_4           = dword ptr -4
.text:0043CA48 VirtualAddress  = dword ptr  8
.text:0043CA48
.text:0043CA48                 mov     edi, edi        ; hot-patching技术
.text:0043CA4A                 push    ebp
.text:0043CA4B                 mov     ebp, esp
.text:0043CA4D                 push    ecx
.text:0043CA4E                 push    ecx
.text:0043CA4F                 mov     ecx, [ebp+VirtualAddress] ; ecx = VirtualAddress 也就是压入的线性地址
.text:0043CA52                 push    esi             ; 保存原来的esi，后面需要用到esi作为计算
.text:0043CA53                 mov     eax, ecx        ; eax = VirtualAddress
.text:0043CA55                 shr     eax, 12h        ; VirtualAddress = VirtualAddress >> 18
.text:0043CA58                 mov     esi, 3FF8h      ; esi = 0x3FF8
.text:0043CA5D                 and     eax, esi        ; VirtualAddress = VirtualAddress & 0x3FF8 相当于获取的是PDPTEI*8*512+PDI*8
.text:0043CA5F                 sub     eax, 3FA00000h  ; eax = PDPTEI*8*512+PDI*8+0xC0600000，相当于拿到了PDE的地址
.text:0043CA64                 mov     edx, [eax]      ; 获取PDE结构地址中存储的值
.text:0043CA66                 mov     eax, [eax+4]    ; 获取当前PDE结构中得下一个PDE结构地址中存储的值
.text:0043CA69                 mov     [ebp+var_4], eax ; 把第二个获取的PDE结构地址中的值存储到堆栈中
.text:0043CA6C                 mov     eax, edx        ; eax = 第一个获取的PDE结构地址中存储的值
.text:0043CA6E                 push    edi
.text:0043CA6F                 and     eax, 1          ; 判断是否第一个获取的PDE结构地址中存储的值，就可以判断当前PDE结构P位是否有效
.text:0043CA72                 xor     edi, edi
.text:0043CA74                 or      eax, edi        ; 判断是否当前PDE结构中的值是否为空
.text:0043CA76                 jz      short loc_43CAD9 ; 如果为空则结束
.text:0043CA78                 mov     edi, 80h
.text:0043CA7D                 and     edx, edi        ; 判断PDE是否为大页，也就是判断PS位，第7位
.text:0043CA7F                 push    0
.text:0043CA81                 mov     [ebp+var_8], edx ; 判断PS位的结果存储到堆栈中
.text:0043CA84                 pop     eax             ; 清空eax
.text:0043CA85                 jz      short loc_43CA8B ; 如果不是大页，PS位不为1，那跳转到0x43CA8B进行处理
.text:0043CA87                 test    eax, eax
.text:0043CA89                 jz      short loc_43CADD ; 如果走到这里，那么就肯定会跳转到43CADD，意味着这个函数的结束
.text:0043CA8B
.text:0043CA8B loc_43CA8B:                             ; CODE XREF: MmIsAddressValid+3D↑j
.text:0043CA8B                 shr     ecx, 9          ; 下面是PDE PS位0 物理页为4kb的情况的处理，VirtualAddress = VirtualAddress >> 9
.text:0043CA8E                 and     ecx, 7FFFF8h    ; ecx相当于获取的是PDPTEI*512*512*8+PDI*8*512+PTI*8
.text:0043CA94                 mov     eax, [ecx-3FFFFFFCh]
.text:0043CA9A                 sub     ecx, 40000000h  ; ecx = C0000000+PDPTEI*512*512*8+PDI*8*512+PTI*8
.text:0043CAA0                 mov     edx, [ecx]      ; 获得指定的PTE结构地址中的值
.text:0043CAA2                 mov     [ebp+var_4], eax
.text:0043CAA5                 push    ebx
.text:0043CAA6                 mov     eax, edx        ; edx = PTE结构地址中的值
.text:0043CAA8                 xor     ebx, ebx
.text:0043CAAA                 and     eax, 1          ; 判断有效位P
.text:0043CAAD                 or      eax, ebx        ; 判断当前PTE结构中的值有没有
.text:0043CAAF                 pop     ebx
.text:0043CAB0                 jz      short loc_43CAD9 ; 如果没有值的话，那么函数结束
.text:0043CAB2                 and     edx, edi        ; 判断PTE的PAT位，第7位
.text:0043CAB4                 push    0
.text:0043CAB6                 mov     [ebp+var_8], edx
.text:0043CAB9                 pop     eax
.text:0043CABA                 jz      short loc_43CADD ; 如果PAT位为0则跳转
.text:0043CABC                 test    eax, eax        ; 这个不知道再判断什么，但是这里的会正常来说不会跳转，一直往下走
.text:0043CABE                 jnz     short loc_43CADD
.text:0043CAC0                 and     ecx, esi        ; PDE的地址 & 3FF8 看不太懂
.text:0043CAC2                 mov     ecx, [ecx-3FA00000h] ; (PDE的地址 & 3FF8) + 0xC0600000，这个不知道获得的是什么结构体，老师没讲过
.text:0043CAC8                 mov     eax, 81h
.text:0043CACD                 and     ecx, eax
.text:0043CACF                 xor     edx, edx
.text:0043CAD1                 cmp     ecx, eax        ; 同样也会判断第7位和第0位
.text:0043CAD3                 jnz     short loc_43CADD
.text:0043CAD5                 test    edx, edx
.text:0043CAD7                 jnz     short loc_43CADD
.text:0043CAD9
.text:0043CAD9 loc_43CAD9:                             ; CODE XREF: MmIsAddressValid+2E↑j
.text:0043CAD9                                         ; MmIsAddressValid+68↑j
.text:0043CAD9                 xor     al, al
.text:0043CADB                 jmp     short loc_43CADF
.text:0043CADD ; ---------------------------------------------------------------------------
.text:0043CADD
.text:0043CADD loc_43CADD:                             ; CODE XREF: MmIsAddressValid+41↑j
.text:0043CADD                                         ; MmIsAddressValid+72↑j ...
.text:0043CADD                 mov     al, 1
.text:0043CADF
.text:0043CADF loc_43CADF:                             ; CODE XREF: MmIsAddressValid+93↑j
.text:0043CADF                 pop     edi
.text:0043CAE0                 pop     esi
.text:0043CAE1                 leave
.text:0043CAE2                 retn    4
.text:0043CAE2 MmIsAddressValid endp

posted @ 2022-02-20 13:23 zpchcbd 阅读(399) 评论(0) 编辑收藏举报

刷新页面返回顶部

登录后才能查看或发表评论，立即登录或者逛逛博客园首页

相关博文：

· 80x86 2-9-9-12分页

· PDE_PTE和PDE_PTE属性（P位和R/W位）

· 合天网络安全笔记-十九-

· linux内核源码阅读-mm 逻辑地址,线性地址和物理地址转换

· 逆向工程核心原理(1)逆向基础

历史上的今天：
2020-02-20 反汇编：循环
2020-02-20 反汇编：函数嵌套调用

记录部分个人学习和部分实战的笔记我会慢慢补全部分空白的文章 :)

练习逆向XP内核2-9-9-12和10-10-12分页的MmIsAddressValid函数

如何寻找MmIsAddressValid内核函数的方法

10-10-12分页逆向过程

思考

注意点

2-9-9-12分页逆向过程

我的标签

随笔档案

博客友链

	.text:0040AEC6 ; BOOLEAN __stdcall MmIsAddressValid(PVOID VirtualAddress)
	.text:0040AEC6 public MmIsAddressValid
	.text:0040AEC6 MmIsAddressValid proc near ; CODE XREF: sub_40AF1C+C↓p
	.text:0040AEC6 ; sub_4129D8+2F5B↓p ...
	.text:0040AEC6
	.text:0040AEC6 VirtualAddress = dword ptr 8
	.text:0040AEC6
	.text:0040AEC6 ; FUNCTION CHUNK AT .text:0041DDA5 SIZE 00000007 BYTES
	.text:0040AEC6 ; FUNCTION CHUNK AT .text:0044F150 SIZE 00000019 BYTES
	.text:0040AEC6
	.text:0040AEC6 mov edi, edi
	.text:0040AEC8 push ebp
	.text:0040AEC9 mov ebp, esp
	.text:0040AECB mov ecx, [ebp+VirtualAddress]
	.text:0040AECE mov eax, ecx
	.text:0040AED0 shr eax, 14h
	.text:0040AED3 mov edx, 0FFCh
	.text:0040AED8 and eax, edx
	.text:0040AEDA sub eax, 3FD00000h
	.text:0040AEDF mov eax, [eax]
	.text:0040AEE1 test al, 1
	.text:0040AEE3 jz loc_41DDA5
	.text:0040AEE9 test al, al
	.text:0040AEEB js short loc_40AF11
	.text:0040AEED shr ecx, 0Ah
	.text:0040AEF0 and ecx, 3FFFFCh
	.text:0040AEF6 sub ecx, 40000000h
	.text:0040AEFC mov eax, ecx
	.text:0040AEFE mov ecx, [eax]
	.text:0040AF00 test cl, 1
	.text:0040AF03 jz loc_41DDA5
	.text:0040AF09 test cl, cl
	.text:0040AF0B js loc_44F150
	.text:0040AF11
	.text:0040AF11 loc_40AF11: ; CODE XREF: MmIsAddressValid+25↑j
	.text:0040AF11 ; MmIsAddressValid+44298↓j
	.text:0040AF11 mov al, 1
	.text:0040AF13
	.text:0040AF13 loc_40AF13: ; CODE XREF: MmIsAddressValid+12EE1↓j
	.text:0040AF13 pop ebp
	.text:0040AF14 retn 4
	.text:0040AF14 MmIsAddressValid endp
	...
	...
	.text:0044F150 ; START OF FUNCTION CHUNK FOR MmIsAddressValid
	.text:0044F150
	.text:0044F150 loc_44F150: ; CODE XREF: MmIsAddressValid+45↑j
	.text:0044F150 and eax, edx
	.text:0044F152 mov eax, [eax-3FD00000h]
	.text:0044F158 and ax, 81h
	.text:0044F15C cmp al, 81h
	.text:0044F15E jnz loc_40AF11
	.text:0044F164 jmp loc_41DDA5
	.text:0044F164 ; END OF FUNCTION CHUNK FOR MmIsAddressValid

	.text:0043CA48 ; BOOLEAN __stdcall MmIsAddressValid(PVOID VirtualAddress)
	.text:0043CA48 public MmIsAddressValid
	.text:0043CA48 MmIsAddressValid proc near ; CODE XREF: sub_41ADD4+2F↑p
	.text:0043CA48 ; sub_41AE26+29↑p ...
	.text:0043CA48
	.text:0043CA48 var_8 = dword ptr -8
	.text:0043CA48 var_4 = dword ptr -4
	.text:0043CA48 VirtualAddress = dword ptr 8
	.text:0043CA48
	.text:0043CA48 mov edi, edi ; hot-patching技术
	.text:0043CA4A push ebp
	.text:0043CA4B mov ebp, esp
	.text:0043CA4D push ecx
	.text:0043CA4E push ecx
	.text:0043CA4F mov ecx, [ebp+VirtualAddress] ; ecx = VirtualAddress 也就是压入的线性地址
	.text:0043CA52 push esi ; 保存原来的esi，后面需要用到esi作为计算
	.text:0043CA53 mov eax, ecx ; eax = VirtualAddress
	.text:0043CA55 shr eax, 12h ; VirtualAddress = VirtualAddress >> 18
	.text:0043CA58 mov esi, 3FF8h ; esi = 0x3FF8
	.text:0043CA5D and eax, esi ; VirtualAddress = VirtualAddress & 0x3FF8 相当于获取的是PDPTEI8512+PDI*8
	.text:0043CA5F sub eax, 3FA00000h ; eax = PDPTEI8512+PDI*8+0xC0600000，相当于拿到了PDE的地址
	.text:0043CA64 mov edx, [eax] ; 获取PDE结构地址中存储的值
	.text:0043CA66 mov eax, [eax+4] ; 获取当前PDE结构中得下一个PDE结构地址中存储的值
	.text:0043CA69 mov [ebp+var_4], eax ; 把第二个获取的PDE结构地址中的值存储到堆栈中
	.text:0043CA6C mov eax, edx ; eax = 第一个获取的PDE结构地址中存储的值
	.text:0043CA6E push edi
	.text:0043CA6F and eax, 1 ; 判断是否第一个获取的PDE结构地址中存储的值，就可以判断当前PDE结构P位是否有效
	.text:0043CA72 xor edi, edi
	.text:0043CA74 or eax, edi ; 判断是否当前PDE结构中的值是否为空
	.text:0043CA76 jz short loc_43CAD9 ; 如果为空则结束
	.text:0043CA78 mov edi, 80h
	.text:0043CA7D and edx, edi ; 判断PDE是否为大页，也就是判断PS位，第7位
	.text:0043CA7F push 0
	.text:0043CA81 mov [ebp+var_8], edx ; 判断PS位的结果存储到堆栈中
	.text:0043CA84 pop eax ; 清空eax
	.text:0043CA85 jz short loc_43CA8B ; 如果不是大页，PS位不为1，那跳转到0x43CA8B进行处理
	.text:0043CA87 test eax, eax
	.text:0043CA89 jz short loc_43CADD ; 如果走到这里，那么就肯定会跳转到43CADD，意味着这个函数的结束
	.text:0043CA8B
	.text:0043CA8B loc_43CA8B: ; CODE XREF: MmIsAddressValid+3D↑j
	.text:0043CA8B shr ecx, 9 ; 下面是PDE PS位0 物理页为4kb的情况的处理，VirtualAddress = VirtualAddress >> 9
	.text:0043CA8E and ecx, 7FFFF8h ; ecx相当于获取的是PDPTEI5125128+PDI8512+PTI8
	.text:0043CA94 mov eax, [ecx-3FFFFFFCh]
	.text:0043CA9A sub ecx, 40000000h ; ecx = C0000000+PDPTEI5125128+PDI8512+PTI8
	.text:0043CAA0 mov edx, [ecx] ; 获得指定的PTE结构地址中的值
	.text:0043CAA2 mov [ebp+var_4], eax
	.text:0043CAA5 push ebx
	.text:0043CAA6 mov eax, edx ; edx = PTE结构地址中的值
	.text:0043CAA8 xor ebx, ebx
	.text:0043CAAA and eax, 1 ; 判断有效位P
	.text:0043CAAD or eax, ebx ; 判断当前PTE结构中的值有没有
	.text:0043CAAF pop ebx
	.text:0043CAB0 jz short loc_43CAD9 ; 如果没有值的话，那么函数结束
	.text:0043CAB2 and edx, edi ; 判断PTE的PAT位，第7位
	.text:0043CAB4 push 0
	.text:0043CAB6 mov [ebp+var_8], edx
	.text:0043CAB9 pop eax
	.text:0043CABA jz short loc_43CADD ; 如果PAT位为0则跳转
	.text:0043CABC test eax, eax ; 这个不知道再判断什么，但是这里的会正常来说不会跳转，一直往下走
	.text:0043CABE jnz short loc_43CADD
	.text:0043CAC0 and ecx, esi ; PDE的地址 & 3FF8 看不太懂
	.text:0043CAC2 mov ecx, [ecx-3FA00000h] ; (PDE的地址 & 3FF8) + 0xC0600000，这个不知道获得的是什么结构体，老师没讲过
	.text:0043CAC8 mov eax, 81h
	.text:0043CACD and ecx, eax
	.text:0043CACF xor edx, edx
	.text:0043CAD1 cmp ecx, eax ; 同样也会判断第7位和第0位
	.text:0043CAD3 jnz short loc_43CADD
	.text:0043CAD5 test edx, edx
	.text:0043CAD7 jnz short loc_43CADD
	.text:0043CAD9
	.text:0043CAD9 loc_43CAD9: ; CODE XREF: MmIsAddressValid+2E↑j
	.text:0043CAD9 ; MmIsAddressValid+68↑j
	.text:0043CAD9 xor al, al
	.text:0043CADB jmp short loc_43CADF
	.text:0043CADD ; ---------------------------------------------------------------------------
	.text:0043CADD
	.text:0043CADD loc_43CADD: ; CODE XREF: MmIsAddressValid+41↑j
	.text:0043CADD ; MmIsAddressValid+72↑j ...
	.text:0043CADD mov al, 1
	.text:0043CADF
	.text:0043CADF loc_43CADF: ; CODE XREF: MmIsAddressValid+93↑j
	.text:0043CADF pop edi
	.text:0043CAE0 pop esi
	.text:0043CAE1 leave
	.text:0043CAE2 retn 4
	.text:0043CAE2 MmIsAddressValid endp

记录部分个人学习和部分实战的笔记 我会慢慢补全部分空白的文章 :)

练习逆向XP内核2-9-9-12和10-10-12分页的MmIsAddressValid函数

如何寻找MmIsAddressValid内核函数的方法

10-10-12分页逆向过程

思考

注意点

2-9-9-12分页逆向过程

我的标签

随笔档案

博客友链

记录部分个人学习和部分实战的笔记我会慢慢补全部分空白的文章 :)