使用ZwMapViewOfSection創建內存映射文件總結

標 題: 【原創】使用ZwMapViewOfSection創建內存映射文件總結
作 者: 小覃
時 間: 2012-06-15,02:28:36
鏈 接: http://bbs.pediy.com/showthread.php?t=152144

在寫驅動搜索內核模塊內存時，你是不是也經常會遇到BSOD？
原因是內核模塊INIT節調用完成后就取消了映射。
    解決這個問題鄙人的方法是，
自己來映射該內核模塊文件內存進行內存操作。
我們使用ZwQuerySystemInformation遍歷枚舉模塊，
得到模塊名后使用ZwMapViewOfSection映射內存。

代碼:

#define SEC_IMAGE 0x01000000
void* MapFileBaseAddress = NULL;
HANDLE  hFile = NULL;
HANDLE  hSection = NULL; 

/** 內存映射文件，返回基址：
*/
void* CreateMapFileAndGetBaseAddr(
  PUNICODE_STRING pDriverName
  )

{
  //HANDLE  hFile;
  //HANDLE  hSection; 
  NTSTATUS status;
  SIZE_T size = 0;
  IO_STATUS_BLOCK io_status = {0};
  OBJECT_ATTRIBUTES oa = {0};

  InitializeObjectAttributes(
    &oa,
  pDriverName,
    OBJ_CASE_INSENSITIVE,
    0,
    0
    );

status = ZwOpenFile(&hFile, 
       FILE_EXECUTE | SYNCHRONIZE, 
       &oa,
       &io_status, 
       FILE_SHARE_READ, 
       FILE_SYNCHRONOUS_IO_NONALERT);
if(!NT_SUCCESS(status))
        {
                DbgPrint("ZwOpenFile failed\n");
                return NULL;
        }
 oa.ObjectName = 0;

status = ZwCreateSection(&hSection,
        SECTION_ALL_ACCESS,
        &oa,
        0,
        PAGE_EXECUTE, 
        SEC_IMAGE, 
        hFile);
if(!NT_SUCCESS(status))
        {
                DbgPrint("ZwCreateSection failed\n");
        hFile = NULL;
        ZwClose(hFile);
                return NULL;
        }

status = ZwMapViewOfSection(hSection,
           PsGetCurrentProcessId(),
           &MapFileBaseAddress, 
           0, 
           1024,
           0, 
           &size,
           ViewShare,
           MEM_TOP_DOWN, 
           PAGE_READWRITE); 
if(!NT_SUCCESS(status))
        {
                DbgPrint("ZwMapViewOfSection failed\n");
        hSection = NULL;
        ZwClose(hSection);
        hFile = NULL;
        ZwClose(hFile);
                return NULL;
        }
    
return MapFileBaseAddress;
}


調用方法映射文件返回映射后基址，

代碼：

PVOID BaseAddress = NULL;
UNICODE_STRING driverName;
......

RtlInitUnicodeString( &driverName, L"\\??\\C:\\Documents and Settings\\Administrator\\桌面\\111.sys" );
BaseAddress = CreateMapFileAndGetBaseAddr(&driverName);
DbgPrint( "MapFile Return Address:%X\r\n", BaseAddress );


釋放清理：

if( NULL != hFile )
  ZwClose(hFile);
if( NULL != hSection )
  ZwClose(hSection);

代碼僅供參考！
PsGetCurrentProcessId()
也可以用NtCurrentProcess()代替。

以上代碼在XPSP3 DDK下測試通過！*轉載請注明來自看雪論壇@PEdiy.com

jpg 改 rar