Memimager.

NTSystemDebugControl을 사용하여 메모리 덤프 수행
지금 다운로드

Memimager. 순위 및 요약

광고

  • Rating:
  • 특허:
  • Freeware
  • 게시자 이름:
  • Arne Vidstrom
  • 운영체제:
  • Windows All
  • 파일 크기:
  • 7 KB

Memimager. 태그


Memimager. 설명

Memimager 응용 프로그램은 NTSystemDebugControl을 사용하여 메모리 덤프를 수행하는 도구로 설계되었습니다. 덤핑을 위해 NTSystemDebugControl을 사용합니다 제어 코드 10의 경우, 다음 레이아웃을 입력 버퍼로 사용하여 구조체를 사용합니다. - DWORD PhysicalAddress; - DWORD 예약 1; - void * buffer; - DWORD 길이; 다음으로 우리는 예를 들어 MALLOC를 가리키는 페이지 크기의 버퍼를 예로 들어, 버퍼를 가리키고 4096의 길이를 작성하고, 내용을 복사하려는 페이지 주소로 PhysicalAddress를 가리 킵니다. 그런 다음 NTSystemDebugControl을 실행하고 모든 것이 잘되면 버퍼가 이제 실제 페이지에 데이터의 사본을 포함합니다. 아주 사소한 실제로. NTSystemDebugControl 내부 이해를 위해 NTSystemDebugControl은 어떻게 캐싱 문제를 처리 해야하는 경우 커널에 다이빙을 가져 가야합니다. 커널은 제어 코드를 기반으로 올바른 기능에 파견 한 스위치 문을 포함하는 NTSystemDebugControl이라는 루틴을 내 보냅니다. 다음에서는 코드의 모든 작은 세부 사항을 설명하지 않습니다. 첫 번째 이유는 우리가보고있는 것과 관련이없는 많은 세부 사항이 있습니다. 두 번째 코드는 코드를 디 컴파일하지 않고 해독의 관련 부분 만 수행했지만 (Windows Server 2003 SP0 커널에서). 코드 처리 제어 코드 10은 버퍼 (* 버퍼) 상주의 페이지를 소지하고, 메모리에 잠그고 (매개 변수로 전달 된 포인터로 전달 된 포인터에서) 시스템 공간 가상 주소를 가리키는 시스템 공간 가상 주소를 호출합니다. 그런 다음 _kdpcopymemorychunks라는 다른 문서화되지 않은 함수가 호출됩니다. 그것에 전달 된 매개 변수는 버퍼를 가리키는 시스템 공간 가상 주소, 복사 (길이)의 바이트 수 및 복사 할 주소 (PhysicalAddress)에서 복사 할 주소입니다. 이제 또 다른 문서화되지 않은 함수가 _MMDBGCOPYMEMORY라고합니다. 이 함수는 데이터의 실제 복사를 수행합니다. 그러나 복사하기 전에는 물리적 주소 대신 소스의 가상 주소가 필요합니다. 따라서 마지막으로 문서화되지 않은 기능을 호출합니다. _midbgtranslatePhysicalAddress. 이제 우리는 우리의 질문에 대한 답변을 정말로 폐쇄하고 있습니다. _midbgtranslatePhysicalAddress는 물리적 주소를 매개 변수로받습니다. 그런 다음 _validkernelpte라는 변수를 사용합니다. 이는 커널 PTE 용 템플릿의 종류 역할을합니다. s. 템플릿의 플래그는 물리적 주소와 결합되어 복사하려는 페이지를 가리키는 PTE를 구성합니다. 그런 다음 PFN 데이터베이스가 인덱싱되어 소스 페이지에 해당하는 항목을 찾습니다. 이 항목에서 커널은 U3.E1 멤버의 CacheAttribute 플래그를 찾습니다. 그런 다음 cacheattribute 플래그를 사용하여 PTE에서 PAT 색인을 설정합니다. 이제 우리는 우리의 답변이 실제로 있습니다. 그러나 어쨌든 나는 작은 조금 더 계속 될 것입니다. PTE는 커널 변수 _mmdebugpte가 가리키는 위치에 이제 빌드 된 PTE가 이제 복사되었습니다. 마지막으로 함수는 매핑을 위해 PTE를 사용하는 가상 주소를 반환합니다. 이제 _mmdbgcopymemory는 가상 주소 만 사용하여 실제 소스 페이지에서 물리적 소스 페이지에서 버퍼로 데이터를 복사 할 수 있습니다.


Memimager. 관련 소프트웨어

회사 소개