视频提供:昆山滴水信息技术有限公司官网地址:www.dtdishui.com论坛地址:www.dtdebug.comQQ交流

:49759272本节内容2-9-9-12分页内容回顾CR3PDPTE0PDPTE1PDPTE2PDPTE3PDPTE:Page-Directory-Point-TableEntry页目录指针表项每项占8个字节PDPI:2PDE0PDE1.
.
.
PDI:9PTE0PTE1.
.
.
PTE0PTE1.
.
.
PTI:91、Page-Directory-Point-TableEntry1、PDPTE共有四项(第一个2).
2、35-12存储的是页目录表的基址,低12位补0,共36位,即页目录基址.
2、PDE结构特别说明:1、当PS=1时是大页,35-21位是大页的物理地址,这样36位的物理地址的低21位为0,这就意味着页的大小为2MB,且都是2MB对齐.
2、当PS=0时,35-12位是页表基址,低12位补0,共36位.

3、PTE结构特别说明:PTE中35-12是物理页基址,24位,低12位补0物理页基址+12位的页内偏移指向具体数据4、XD标志位(AMD中称为NX,即NoExcetion)PDE/PTE结构段的属性有可读、可写和可执行页的属性有可读、可写当RET执行返回的时候,如果我修改堆栈里面的数据指向一个我提前准备好的数据(把数据当作代码来执行,漏洞都是依赖这点,比如SQL注入也是)所以,Intel就做了硬件保护,做了一个不可执行位,XD=1时.
那么你的软件溢出了也没有关系,即使你的EIP蹦到了危险的"数据区",也是不可以执行的!
在PAE分页模式下,PDE与PTE的最高位为XD/NX位.

X保留35-12物理地址低12位(属性)课后练习:1、给0线性地址挂上物理页.
2、修改页属性,实现应用层读写高2G内存地址.
3、逆向分析MmIsAddressValid函数,找到PAE分页模式下页目录表、页表基址.
4、编写代码实现第二题.