VPF::Маппим память под Windows 2003 - Форум программистов

jungle

Дата 28.2.2006, 12:44 (ссылка)

(нет голосов)

Загрузка ...

Аппаратный кодер

Профиль
Группа: Участник
Сообщений: 40
Регистрация: 17.1.2006
Где: Беларусь

Репутация: нет
Всего: нет

Необходимо отобразить кусок физической памяти на пространство процесса. Для этого, функцией ZwOpenSection я открыл объект \Device\PhysicalMemory. Однако попытка отображения участка памяти классической апишной функцией MapViewOfFile под вынь2003 SP1 32-bit не удалась, хотя под XP всё пучком. Полагаю, что функция ZwMapViewOfSection решит ситуацию. Проблема в том, что я меня не выходит заюзать ее прототип

Код


type
  TSECTION_INHERIT = (ViewPad,ViewShare,ViewUnmap);
  SECTION_INHERIT = TSECTION_INHERIT;

TZwMapViewOfSection = function(
                           SectionHandle : THandle;
                           ProcessHandle : THandle;
                           out BaseAddress : Pointer;
                           ZeroBits : ULONG;
                           CommitSize : ULONG;
                           out SectionOffset : LARGE_INTEGER;
                           out ViewSize : ULONG;
                           InheritDisposition : SECTION_INHERIT;
                           AllocationType : ULONG;
                           Protect : ULONG
                        ) : Integer; stdcall;
...

initialization
  hNTDLL:=GetModuleHandle('ntdll.dll');
  if hNTDLL <> 0 then
  begin
    @ZwOpenSection:=GetProcAddress(hNTDLL, 'ZwOpenSection');
    @ZwMapViewOfSection:=GetProcAddress(hNTDLL, 'ZwMapViewOfSection');
    @ZwUnmapViewOfSection:=GetProcAddress(hNTDLL, 'ZwUnmapViewOfSection');
  end;

Может у кого-нидь небольшой пример?

bems

Дата 28.2.2006, 14:17 (ссылка)

(нет голосов)

Загрузка ...

Эксперт

Профиль
Группа: Комодератор
Сообщений: 3400
Регистрация: 5.1.2006

Репутация: 21
Всего: 88

Пример на си
(с) Марк Русинович
Добавлено @ 14:25
А почему MapViewOfFile не работает?
Какой код ошибки?

Может ты для записи маппишь? Тогда нужно сначала с правами пояб-ся...
Как - не знаю...

Присоединённый файл ( Кол-во скачиваний: 27 )

PhysMem.zip 28,49 Kb

--------------------

Обижено школьников: 8

Girder

Дата 28.2.2006, 15:29 (ссылка)

(нет голосов)

Загрузка ...

Лентяй 2

Профиль
Группа: Участник Клуба
Сообщений: 1993
Регистрация: 12.5.2004

Репутация: 25
Всего: 155

Ну вот тебе... не большой пример smile

PS: Брось кнопку и мемо на форму

Код

unit Unit1;

interface

uses
  Windows, Messages, SysUtils, Variants, Classes, Graphics, Controls, Forms,
  Dialogs, StdCtrls, ExtCtrls;

type
  TForm1 = class(TForm)
    Button1: TButton;
    Memo1: TMemo;
    procedure Button1Click(Sender: TObject);
  private
    { Private declarations }
  public
    { Public declarations }
  end;

var
  Form1: TForm1;

implementation

{$R *.dfm}

uses AccCtrl, AclAPI;

const
 OBJ_CASE_INSENSITIVE=$40;
 OBJ_KERNEL_HANDLE=$200;

type
 SIZE_T=Cardinal;
 SECTION_INHERIT=(ViewShare=1,ViewUnmap=2);
 aPhysical=LARGE_INTEGER;
 TGDTR=record
  SizeGDT:Word;
  bLow:Word;
  bHigh:Word;
 end;
 TUnicodeString=record
  Length:Word;
  MaximumLength:Word;
  Buffer:WideString;
 end;
 TObjectAttributes=packed record
  Size:DWord;
  RootDirectory:DWord;
  ObjectName:^TUnicodeString;
  Attributes:DWord;
  SecurityDescriptor:Pointer;
  SecurityQualityOfService:Pointer;
 end;
 TCALLGATE_DESCRIPTOR=packed record
  Offset_0_15:Word;
  Selector:Word;
  {Param_Count=4 бита
  Some_Bits=4 бита
  sgType=4 бита
  App_System=1 бит
  Dpl:Byte=2 бита
  Present:Byte=1 бит}
  GateDescriptor:Word;
  Offset_16_31:Word;
 end;
 TNTOpenSection=function(out SectionHandle:DWord; DesiredAccess:DWord;var ObjectAttributes:TObjectAttributes):DWord;stdcall;
 TNTClose=function (Handle:DWord):DWord;stdcall;
 TNtMapViewOfSection=function(SectionHandle:DWord;ProcessHandle:DWord;BaseAddress:Pointer;ZeroBits:DWord;CommitSize:DWord;var SectionOffset:aPhysical;var ViewSize:SIZE_T;InheritDisposition:SECTION_INHERIT;AllocationType:DWord;Protect:DWord):DWord;stdcall;
 TNtUnmapViewOfSection=function (ProcessHandle:DWord;BaseAddress:Pointer):DWord;stdcall;

var NTOpenSection:TNTOpenSection;
    NtMapViewOfSection:TNtMapViewOfSection;
    NtUnmapViewOfSection:TNtUnmapViewOfSection;
    NTClose:TNTClose;
    ObjectAttributes:TObjectAttributes;
    ObjectName:TUnicodeString;
    hSection:DWord;

function Initialize():Boolean;
var hDll:DWord;
begin
 Result:=false;
 hDll:=LoadLibrary('ntoskrnl.exe');
 if hDll=0 then exit;
 FreeLibrary(hDll);
 hDll:=LoadLibrary('ntdll.dll');
 if hDll=0 then exit;
 NTOpenSection:=GetProcAddress(hDll,'NtOpenSection');
 NtMapViewOfSection:=GetProcAddress(hDll,'NtMapViewOfSection');
 NtUnmapViewOfSection:=GetProcAddress(hDll,'NtUnmapViewOfSection');
 NTClose:=GetProcAddress(hDll,'NtClose');
 FreeLibrary(hDll);
 if (not(assigned(NTOpenSection)))or(not(assigned(NTClose)))or
    (not(assigned(NtMapViewOfSection)))or(not(assigned(NtUnmapViewOfSection))) then exit;
 ObjectAttributes.Size:=SizeOf(ObjectAttributes);
 ObjectAttributes.RootDirectory:=0;
 ObjectAttributes.ObjectName:=@ObjectName;
 ObjectAttributes.Attributes:=OBJ_CASE_INSENSITIVE or OBJ_KERNEL_HANDLE;
 ObjectAttributes.SecurityDescriptor:=nil;
 ObjectAttributes.SecurityQualityOfService:=nil;
 ObjectName.Buffer:='\Device\PhysicalMemory';
 ObjectName.Length:=Length(ObjectName.Buffer)*SizeOf(WideChar);
 ObjectName.MaximumLength:=ObjectName.Length+SizeOf(WideChar);
 Result:=true;   
end;

function OpenPhysicalMemory():DWord;
var Section:DWord;
    NewDacl:PACL;
    SecDesc:PPSECURITY_DESCRIPTOR;
    f:Boolean;
begin
 Result:=0;
 if NtOpenSection(Section,SECTION_MAP_READ or SECTION_MAP_WRITE,ObjectAttributes)=ERROR_SUCCESS then
  begin
   Result:=Section;
   exit;
  end;
 f:=false;
 SecDesc:=nil;
 NewDacl:=nil;
 if NtOpenSection(Section,READ_CONTROL or WRITE_DAC,ObjectAttributes)=ERROR_SUCCESS then
  begin
   if SetSecurityInfo(Section,SE_KERNEL_OBJECT,DACL_SECURITY_INFORMATION,nil,nil,nil,nil)=ERROR_SUCCESS then f:=true;
   NtClose(Section);
  end;
 Section:=0; 
 if (f)and(NtOpenSection(Section,SECTION_MAP_READ or SECTION_MAP_WRITE,ObjectAttributes)=ERROR_SUCCESS) then
  Result:=Section;
 if SecDesc<>nil then LocalFree(Cardinal(SecDesc));
 if NewDacl<>nil then LocalFree(Cardinal(NewDacl));
end;

function AddressIn4MBPage(Address:DWord):Boolean;
begin
 Result:=($80000000<=Address)and(Address<$A0000000);
end;

function MiniMmGetPhysicalAddress(vAddress:DWord):DWord;
begin
 if AddressIn4MBPage(vAddress) then Result:=vAddress-$80000000 else Result:=$FFFFFFFF;
end;

function MiniMmGetPhysicalPageAddress(VirtualAddress:DWord):DWord;
begin
 if AddressIn4MBPage(VirtualAddress) then Result:=VirtualAddress and $1FFFF000 else Result:=$FFFFFFFF;
end;

function InfoGDTR(SectionHandle:DWord):Boolean;
var GDTR:TGDTR;
    i:DWord;
    mapAddr:DWord;
    MappedAddress:Pointer;
    MappedSize:DWord;
    Physical:aPhysical;
    CG:^TCALLGATE_DESCRIPTOR;
    s:string;
    b:Byte;
begin
 Result:=false;
 asm
  push eax
  lea eax,GDTR
  db 0fh
  db 01h
  db 00h
  pop eax
 end;
 i:=(GDTR.bHigh shl 16) or GDTR.bLow;
 mapAddr:=MiniMmGetPhysicalPageAddress(i);
 if mapAddr=$FFFFFFFF then exit;
 MappedAddress:=nil;
 MappedSize:=GDTR.SizeGDT;
 Physical.QuadPart:=mapAddr;
 if NtMapViewOfSection(SectionHandle,$FFFFFFFF,@MappedAddress,0,
                       MappedSize,Physical,MappedSize,ViewShare,0,PAGE_READWRITE)=ERROR_SUCCESS then
  begin
   if MappedAddress<>nil then
    begin
     Form1.Memo1.Lines.Clear;
     i:=DWord(MappedAddress);
     while i<(Cardinal(MappedAddress)+(GDTR.SizeGDT and $FFF8)) do
      begin
       CG:=Ptr(i);
       Form1.Memo1.Lines.Add('------------------');
       Form1.Memo1.Lines.Add('Селектор: '+IntToHex(CG^.Selector,4));
       Form1.Memo1.Lines.Add('Адресс к процедуре: '+IntToHex((CG^.Offset_16_31 shl 16)+CG^.Offset_0_15,8));
       b:=CG^.GateDescriptor shr 8;
       Form1.Memo1.Lines.Add('Бит присутствия сегмента в памяти, P = '+IntToStr((b and $80)shr 7));
       Form1.Memo1.Lines.Add('Кольцо защиты(минимальные привелегии для доступа к сегменту), DPL = '+IntToStr((b and $60)shr 5));
       if (b and $10)=0 then
        begin
         Form1.Memo1.Lines.Add('Системный сегмент');
         case (b and $F) of
          1: s:='Доступный TSS (i80286)';
          2: s:='Сегмент LDT';
          3: s:='Занятый TSS (i80286)';
          4: s:='Вентиль вызова (i80286)';
          5: s:='Вентиль задачи';
          6: s:='Вентиль прерывания (i80286)';
          7: s:='Вентиль исключения (i80286)';
          8: s:='R'+IntToStr((b and $60)shr 5)+'_Code';
          9: s:='Доступный TSS (i80386)';
          10: s:='Зарезервированно';
          11: s:='Занятый TSS (i80386)';
          12: s:='Вентиль вызова (i80386)';
          13: s:='Зарезервированно';
          14: s:='Вентиль прерывания (i80386)';
          15: s:='Вентиль ловушки (i80386)';
         else
          s:='Null';
         end;
         Form1.Memo1.Lines.Add('Тип системного сегмента, Type: '+s);
        end else
        begin
         Form1.Memo1.Lines.Add('Бит обращения к сегменту, A = '+IntToStr(b and $1));
         if (b and $8)=1 then
          begin
           Form1.Memo1.Lines.Add('Cегмент кода');
           Form1.Memo1.Lines.Add('Бит разрешения чтения сегмента, R = '+IntToStr((b and $2)shr 1));
           Form1.Memo1.Lines.Add('Бит подчинения, C = '+IntToStr((b and $4)shr 2));
           if ((b and $4) shr 2)=0 then
            Form1.Memo1.Lines.Add('Целевой сегмент - Несогласованый (Нельзя обратиться из программы с меньшим приоритетом') else
            Form1.Memo1.Lines.Add('Целевой сегмент - Cогласованый (Можно обратиться из программы с меньшим приоритетом)');
          end else
          begin
           Form1.Memo1.Lines.Add('Сегмент данных');
           Form1.Memo1.Lines.Add('Бит разрешения записи в сегмент, W = '+IntToStr((b and $2)shr 1));
           Form1.Memo1.Lines.Add('Бит направления расширения сегмента, D = '+IntToStr((b and $4)shr 2));
           if ((b and $4) shr 2)=0 then
            Form1.Memo1.Lines.Add('Обычный сегмент') else
            Form1.Memo1.Lines.Add('Стек');
          end;
        end;
       Inc(i,8);
      end;
    end;
   NtUnmapViewOfSection($FFFFFFFF,MappedAddress);
  end;
end;

function ExecInfo(SectionHandle:DWord):Boolean;
var mapAddr:DWord;
    MappedAddress:Pointer;
    MappedSize,Size,i:DWord;
    Physical:aPhysical;
    ft:integer;
    Buf:array [0..$10000-1] of byte;
begin
 Result:=false;
 mapAddr:=MiniMmGetPhysicalPageAddress($80000000);
 if mapAddr=$FFFFFFFF then exit;
 ft:=FileCreate('k:\Dump.txt');
 if ft=-1 then exit;  
 Size:=($A0000000-$80000000) div $10000;
 Physical.QuadPart:=mapAddr;
 while (Size>0) do
  begin
   MappedSize:=$10000;
   MappedAddress:=nil;   
   if NtMapViewOfSection(SectionHandle,$FFFFFFFF,@MappedAddress,0,
                         MappedSize,Physical,MappedSize,ViewShare,0,PAGE_READWRITE)=ERROR_SUCCESS then
    begin
     if MappedAddress<>nil then
      begin
       for i:=0 to MappedSize-1 do
        Buf[i]:=PByte(DWord(MappedAddress)+i)^;
       FileWrite(ft,Buf,MappedSize);
       Result:=true;
      end;
     NtUnmapViewOfSection($FFFFFFFF,MappedAddress);
    end;
   Physical.QuadPart:=Physical.QuadPart+MappedSize;
   if Size>=MappedSize then Size:=Size-MappedSize else Size:=0;
  end;
 FileClose(ft);
end;

procedure TForm1.Button1Click(Sender: TObject);
begin
 if (Initialize=false) then exit;
 hSection:=OpenPhysicalMemory();
 if hSection=0 then exit;
 Memo1.Lines.Clear;
 InfoGDTR(hSection); //Полезная информация :)
 ExecInfo(hSection); //задампим... что нить :)
 NtClose(hSection);
end;

end.

--------------------

Как слышим, так и пишим.
Истина где-то там...

jungle

Дата 28.2.2006, 18:07 (ссылка)

(нет голосов)

Загрузка ...

Блин, копать-то надо выше…

При попытке поюзать ZwOpenSection под Win2003 функция возвращает STATUS_ACCESS_DENIED. Под WinXP без траблофф. Сегодня протестирую на WinXP x64. Предполагаю проблема возникнет также.

Girder, Спасибо! Но это закруто для меня smile

Кстати, сам ща прикрутил функцию…

Код


var
  virtualAddress : Pointer;
  SectionOffset : LARGE_INTEGER;
  ViewSize : ULong;
  rz: integer;
  k: byte;
  LinearAddress: TByteArray;
begin
  …
  ViewSize:=32;
  VirtualAddress:=nil;
  SectionOffset.LowPart:=$FB000;
  SectionOffset.HighPart:=0;
  rz:=ZwMapViewOfSection(Section,
                         GetCurrentProcess,
                         virtualAddress,
                         0,
                         32,
                         SectionOffset,
                         ViewSize,
                         ViewShare,
                         0,
                         PAGE_READONLY);
  showmessage(inttohex(rz,8));
  if rz<>0 then Exit;
  Move(VirtualAddress^, LinearAddress, BuffSize);
  Result:=LinearAddress;
end;

здесь я читают 32 байта, начиная с адреса $FB000.
Так всё-таки, коллеги, как разлочить обджек \Device\PhysicalMemory под Win2003?
Добавлено @ 18:16
Обломс!!! Girder, твой сорсис не работает под Win2003! smile

Memo1 не заполнился ни одной строчкой.

bartram

Дата 28.2.2006, 18:35 (ссылка)

(нет голосов)

Загрузка ...

Эксперт

Профиль
Группа: Комодератор
Сообщений: 1606
Регистрация: 22.2.2004
Где: Russia, Samara

Репутация: 3
Всего: 29

Вот тут откопал, вроде должно работать smile

Код


{ Открытие физической памяти }
function OpenPhysicalMemory(mAccess: dword): THandle;
var
  PhysMemString: TUnicodeString;
  Attr: TObjectAttributes;
  OldAcl, NewAcl: PACL;
  SD: PSECURITY_DESCRIPTOR;
  Access: EXPLICIT_ACCESS;
  mHandle: dword;

begin
  Result := 0;
  RtlInitUnicodeString(@PhysMemString, MemDeviceName);

  InitializeObjectAttributes(@Attr, @PhysMemString, OBJ_CASE_INSENSITIVE or
                             OBJ_KERNEL_HANDLE, 0, nil);

  if ZwOpenSection(@mHandle, READ_CONTROL or
                   WRITE_DAC , @Attr) <> STATUS_SUCCESS then Exit;

  if GetSecurityInfo(mHandle, SE_KERNEL_OBJECT, DACL_SECURITY_INFORMATION,
                     nil, nil, @OldAcl, nil, SD) <> ERROR_SUCCESS then Exit;
  with Access do
    begin
     grfAccessPermissions := mAccess;
     grfAccessMode := GRANT_ACCESS;
     grfInheritance := NO_INHERITANCE;
     Trustee.pMultipleTrustee := nil;
     Trustee.MultipleTrusteeOperation := NO_MULTIPLE_TRUSTEE;
     Trustee.TrusteeForm := TRUSTEE_IS_NAME;
     Trustee.TrusteeType := TRUSTEE_IS_USER;
     Trustee.ptstrName := 'CURRENT_USER';
    end;

   SetEntriesInAclA(1, @Access, OldAcl, NewAcl);

   SetSecurityInfo(mHandle , SE_KERNEL_OBJECT, DACL_SECURITY_INFORMATION,
                   nil, nil, NewAcl, nil);

   ZwOpenSection(@Result, mAccess, @Attr);

   SetSecurityInfo(mHandle , SE_KERNEL_OBJECT, DACL_SECURITY_INFORMATION,
                   nil, nil, OldAcl, nil);

   CloseHandle(mHandle);
   LocalFree(DWORD(NewAcl));
   LocalFree(DWORD(SD));
end;

--------------------

В каждом из нас спит гений, но с каждым днем все крепче ;-)
bartram.ru
Twitter
user posted image

Girder

Дата 28.2.2006, 18:40 (ссылка)

(нет голосов)

Загрузка ...

Лентяй 2

Профиль
Группа: Участник Клуба
Сообщений: 1993
Регистрация: 12.5.2004

Репутация: 25
Всего: 155

Цитата(jungle @ 28.2.2006, 18:07

)

Girder, твой сорсис не работает под Win2003!

А в 2003 ентот код я ни когда и не проверял smile

Кстати... выходит где? В ентой строке: if (Initialize=false) then exit; Или в ентой: if hSection=0 then exit;
Или лудше протрассируй и посмотри на какой строчке трабла.

PS: Там кстати... одна функция выводит инфу в мемо, а вторая дампит участок физ.памяти в файл...

--------------------

Как слышим, так и пишим.
Истина где-то там...

jungle

Дата 1.3.2006, 15:20 (ссылка)

(нет голосов)

Загрузка ...

bartram, cудя по твоему коду, если дескриптор mHandle секции не возвращён функцией ZwOpenSection, то весь последующий код бессмысленный, т.к. функция GetSecurityInfo привязывается именно к дескриптору mHandle. А если получен – то нет необходимости менять секьюрити-инфу.

Кста, секьюрити надо менять в случае записи в физ. память.

Это сообщение отредактировал(а) jungle - 1.3.2006, 18:02

jungle

Дата 2.3.2006, 18:25 (ссылка)

(нет голосов)

Загрузка ...

Вот оно, то самое:
As of Windows Server 2003 SP1, applications cannot access the \Device\PhysicalMemory object. Access to this object is limited to kernel-mode drivers.
http://technet2.microsoft.com/WindowsServe...12ce351033.mspx

Это сообщение отредактировал(а) Girder - 3.3.2006, 09:43

jungle

Дата 6.3.2006, 16:29 (ссылка)

(нет голосов)

Загрузка ...

Girder, кстати, применять надо GetNamedSecurityInfo, а не GetSecurityInfo. Отличие в том, что первая возвращает параметры безопасности по имени объекта, а не по его хэндлу.

Girder

Дата 6.3.2006, 19:31 (ссылка)

(нет голосов)

Загрузка ...

Лентяй 2

Профиль
Группа: Участник Клуба
Сообщений: 1993
Регистрация: 12.5.2004

Репутация: 25
Всего: 155

Цитата(jungle @ 6.3.2006, 16:29

)

Girder, кстати, применять надо GetNamedSecurityInfo, а не GetSecurityInfo. Отличие в том, что первая возвращает параметры безопасности по имени объекта, а не по его хэндлу.

Где, в коде bartram-а?

PS: Да енто вообще лишнее(и то и другое)... когда можно просто сбросить в полный доступ для всех smile

--------------------

Как слышим, так и пишим.
Истина где-то там...

0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей)
0 Пользователей:
« Предыдущая тема \| Delphi: WinAPI и системное программирование \| Следующая тема »