c++ - Windows 虚拟内存和内核模式

Question

我知道在 32 位架构中，内核模式虚拟内存映射在 0x80000000 和 0xFFFFFFFF 之间。

它包含一些结构如 EPROCESS , ETHREAD ... 等等，还有当前进程的页面目录和表。

虽然尝试获取某个函数的虚拟地址是 ntoskrnl 让我们说“nt!NtReadFile”，但我发现它映射到内核虚拟地址 0x89421130 中。

我尝试用随机指令在 RET 之后修补一些 nop，当切换到另一个进程上下文时，我发现我输入的指令仍然存在。

这是否意味着加载 Ntoskrnl 的虚拟内存在每个进程虚拟地址空间中保持不变？

谢谢。

Answer 1

Does that mean that virtual memory where Ntoskrnl is loaded stays unchanged in every process virtual address space?

是的。在运行的 Windows 系统的内存中有一个内核拷贝，并且完全相同的内核地址空间(即 32 位上的 0x80000000-0xFFFFFFFF)被映射到每个进程。