Windows 内核 - 是否有类似 ExGetPoolsForTag(pool_tag) 的东西？

Question

这是关于 Windows 内核驱动程序和内存管理的。

我真的很好奇是否有一个函数(或者任何不方便的方法)来获取(或迭代)特定池标签的所有内存分配？这些是使用 ExAllocatePoolWithTag(type, size, tag) ...

有使用特定池标签的内核函数，现在我需要找到使用该标签进行的所有分配？

我比较确定这是不可能的(出于安全原因)，但仍需要对此进行确认。

干杯，将

---

更新:(关于下面的 WinDbg 评论)

kd> !poolfind ObFlScanning large pool allocation table for Tag: ObFl (fffffa8002290000 : fffffa8002350000)Searching NonPaged pool (fffffa8001772000 : ffffffe000000000) for Tag: ObFl

... 所以这意味着我们必须找到一种通用方法来查找“池分配表”或非分页池的边界(如果需要)。听起来很有希望。

---

更新2:有一些 ntoskrnl 导出:我需要检查的 nt!PoolBigPageTable nt!PoolBigPageTableSize nt!PoolBigPageTableHash....

Answer 1

据我所知，没有记录的方法允许从代码中执行此操作，但是 Windows 内核调试器 (WinDBG) 将允许您执行此操作。

参见 the docs对于 !pool、!poolused、!poolfind 命令。