通过分段机制和分页机制实现禁止数据写入

Posted 极点寸芒

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了通过分段机制和分页机制实现禁止数据写入相关的知识,希望对你有一定的参考价值。

       今天调试程序的时候,对windows对R3的保护机制很感兴趣,为什么rdata段只可读,为什么data可读写,为什么text段不可写入,只可执行,正好今天没事干,这里就做了个测试,首先查看程序断到入口点后,它的物理页的情况

kd> !dd 1db69000
#1db69000 120a5025 80000000 1e642025 00000000
#1db69010 03481025 80000000 1e85e225 80000000
#1db69020 1db96025 80000000 00000000 00000000

物理地址1db69000-1db69020,分别对应虚拟地址400000-404000

 通过上面的值,这里做下总结:

  虚拟地址400000对应的PTE是 80000000~120a5025:禁止执行,不可写入的user页面,bit9为0  PE文件头

  虚拟地址401000对应的PTE是 00000000~1e642025:可以执行,不可写入的user页面,bit9为0   text段

    虚拟地址402000对应的PTE是 80000000~03481025:禁止执行,不可写入的user页面,bit9为0   rdata段

      虚拟地址403000对应的PTE是 80000000~1e85e225:禁止执行,不可写入的user页面,bit9为1   data段

      虚拟地址404000对应的PTE是 80000000~1db96025:禁止执行,不可写入的user页面,bit9为0   rsrc段

 

      首先看下data段,它与其它段(除了text段)的唯一区别就是bit9为1,那么先测试下data,看看它在分页和分段的共同作用下,结果是怎样的

PAGE.Write	  SEGMENT.W		结果
 00		   00		        NO
 01		   00		        NO
 01		   01		        YES
 00		   01		        YES   
可以看到在物理页禁止写入,数据段可以写入的情况下,仍然可以写入

   那么再测试下rdata段,它与data段的唯一区别就是bit9为0,那么这里测试下它,看看结果是怎样的

PAGE.Write	  SEGMENT.W		结果
 00		   00		        NO
 01		   00		        NO
 01		   01		        YES
 00		   01		        NO
可以看到在物理页禁止写入,数据段可以写入的情况下,不能写入数据了

  为什么会出现这种结果,毕竟402000和403000对应的PTE就只有Bit9不同,那么是不是windows用PTE的bit9来区分程序中的data段呢,如果Bit9为1,那么在数据段可以写入的情况下,就算物理页不让写入数据,那么数据仍然能被写入物理页呢,那么我们修改下402000对应的PTE的bit9为1,然后物理页禁止写入,数据段允许写入,这里做了两次测试

  测试一:  kd> !ed 1db69010 03481225   修改后,402000可以被写入数据

  测算二:  kd> !ed 1db69010 03481025 修改后,402000不能再被写入数据了

  根据这种情况来看,是不是所有的程序段对应的PTE的bit9为1,就可以写入数据了呢,这里测试下text段

可以看到,不可访问,并且出现了异常,为什么会出现这种情况呢,看下text对应的PTE,除了bit9不同外,它的bit63也不同,bit63是执行禁止位,其他的都为1,禁止执行,说明不是个代码段,而text对应的PTE的bit63为0,说明这是个代码段,那么把text对应的PTE的bit9置1和bit63置1后,可不可以写入了呢,为了省点事,这里修改所有的物理页

kd> !dd 1db69000
#1db69000 120a5225 80000000 1e642225 80000000
#1db69010 03481225 80000000 1e85e225 80000000
#1db69020 1db96225 80000000 00000000 00000000

OD运行,看看结果如何

 通过测试,400000-404000的所有地址都可以写入了

 

总结:windows通过bit9区分data段,对bit63区分text段,如果bit9为1,bit63为1,那么windows这逗逼就只会认为它是data段了

 

    

 

以上是关于通过分段机制和分页机制实现禁止数据写入的主要内容,如果未能解决你的问题,请参考以下文章

linux中的分段和分页

操作系统学习 保护机制概述

Linux的内存管理

操作系统内存换入-请求调页---14

Linux分页机制之分页机制的演变--Linux内存管理

linux下内存