CR3PhysMemExplorer

KO | EN

gitlite — search

#javascript #python #react #typescript #llm #deep-learning #java #windows #awesome #cli #security #pytorch #ios #mcp

CR3PhysMemExplorer

(★ 12)

No description available.

CR3PhysMemExplorer 최신버젼 다운로드

최종 버전 다운로드 (.zip)

// repository documentation

Was this content helpful?

★ 0 (0 ratings)

## 项目简介

CR3PhysMemExplorer 是一个基于 Windows x64 的物理内存读写实验项目，由一个内核驱动和一个用户层工具组成。  
驱动通过构造自定义 CR3 和页表，实现对物理内存的直接映射与访问；用户层程序通过 `DeviceIoControl` 与驱动通信，以演示在受控前提下读取进程内存的流程，仅用于学习与安全研究。

> **重要说明：本项目涉及内核态物理内存访问，极易导致蓝屏、数据损坏或安全风险。请只在隔离的测试环境中使用，严禁用于任何非法用途。**

## 功能概览

- **内核驱动 `PhysicalMemoryOperation`**
  - 动态生成设备名与符号链接，降低静态特征（例如：`\\Device\\Dev_XXXXX`、`\\DosDevices\\Link_XXXXX`）。
  - 在 `DriverEntry` 中根据系统进程（PID 4）的 CR3 构造新的页表，生成用于物理内存访问的 CR3：
    - 重新分配 PML4T/PDPT 页面并建立 1G 大页映射；
    - 复制系统空间映射，并记录原始 CR3 与中断等级。
  - 通过 `IOCTL_GET_CR3` 初始化指定进程的上下文，通过 `IOCTL_READ` 从物理映射中读取内存。
  - 在切换到“物理视角”前提升 IRQL 并关闭可屏蔽中断，完成后恢复原始 CR3 与 IRQL。
  - 卸载时释放所有分配的非缓存内存和映射。

- **用户层工具 `R3`**
  - 读取驱动在内核中生成的 `RandomLink.txt`，获取真实符号链接名并从第 27 个字符提取 XOR 密钥。
  - 以 `\\\\.\\xxx` 的形式打开设备句柄，并在发送/接收 IOCTL 前后对缓冲区做 XOR 混淆，对应驱动端的加解密逻辑。
  - 提供：
    - `Init(pid)`：通知驱动使用目标进程的 CR3；
    - `Read(addr, buf, size)` / 模板版本：从目标地址读取任意类型数据；
    - `HexDump(addr, size)`：以十六进制输出一段内存内容。
  - 示例程序演示：初始化当前进程，读取自身模块基址前 32 字节并打印。

## 目录结构

```text
CR3PhysMemExplorer
├─ LICENSE
├─ PhysicalMemoryOperation.sln        # 解决方案
├─ PhysicalMemoryOperation\          # 内核驱动工程 (KMDF/NT 内核驱动)
│  ├─ main.c                         # DriverEntry、IRP 分发、随机命名、初始化 CR3 等
│  ├─ PhysicalMemoryOperation.h      # 物理内存访问核心逻辑与结构体定义
│  ├─ Head.h / MyDebugPrint.h       # 公共头、调试输出等
│  └─ x64\Release\...               # 驱动编译输出（中间文件）
├─ R3\                               # 用户层测试/示例程序
│  └─ R3.cpp                         # Memory 类 + main 示例
└─ x64\Release\                      # 最终构建产物
   ├─ PhysicalMemoryOperation.sys    # 内核驱动
   ├─ PhysicalMemoryOperation.pdb    # 调试符号
   └─ PhysicalMemoryOperation.inf    # 安装信息（如已配置）
```

## 工作原理简介

- **物理内存映射**
  - 通过 `ZwOpenSection("\\Device\\PhysicalMemory")` 打开物理内存节对象，并使用 `ZwMapViewOfSection` 将给定物理地址范围映射到当前内核虚拟地址空间，实现对物理页的直接访问和操作。

- **自定义 CR3 与页表构造**
  - 利用系统进程（PID 4）的 CR3 作为基础：
    - 清除 CR3 标志位，获得 PML4T 物理地址并映射到虚拟空间；
    - 为新的 PML4T 和 PDPT 分配非缓存物理页（`MmAllocateNonCachedMemory` + `MmGetPhysicalAddress`）；
    - 将系统空间相关的 PML4T 项从原始 PML4T 拷贝到新表中；
    - 将第一个 PML4T 项指向自建 PDPT，后者每项对应一个 1G 大页，从而实现连续 512G 的物理地址映射。
  - 最终将新 PML4T 的物理地址与原 CR3 的 flag 组合成 `CR3Generated`，供切换使用。

- **上下文切换与安全恢复**
  - 切换前：
    - 记录当前 IRQL，必要时提升到 `DISPATCH_LEVEL`；
    - 禁止可屏蔽中断（`_disable()`）；
    - 保存当前 CR3，并写入 `CR3Generated`。
  - 切换回系统视角：
    - 恢复原 CR3；
    - 重新启用中断（`_enable()`）；
    - 如有提升 IRQL，则恢复至原始等级。

- **通信与简单加密**
  - 驱动在 `DriverEntry` 中生成随机符号链接名，并将其写入 `\SystemRoot\RandomLink.txt`，用户层从 `C:\Windows\RandomLink.txt` 读取。
  - 同时使用符号链接名第 27 个字符作为单字节 XOR 密钥，对 IOCTL 的输入/输出缓冲进行对称混淆，降低直接抓包分析的可读性。

## 构建环境

- **推荐环境**
  - Windows 10 x64（测试机）
  - Visual Studio 2015 及以上版本
  - Windows Driver Kit (WDK) 10（对应 VS 版本）
  - 构建目标平台：`x64`，配置：`Release`

- **编译步骤（简要）**
  - 使用 Visual Studio 打开 `PhysicalMemoryOperation.sln`；
  - 分别选择：
    - 解决方案配置：`Release`
    - 解决方案平台：`x64`
  - 构建解决方案：
    - `PhysicalMemoryOperation.sys` 将生成在 `x64\Release\` 目录；
    - 用户层 `R3.exe` 将生成在 `R3` 工程的输出目录（根据 VS 设置）。

## 使用方法

> **注意：以下步骤需要管理员权限，并建议在开启测试签名模式或禁用驱动签名强制的环境中进行。**

- **1. 准备环境**
  - 以管理员身份打开命令提示符或 PowerShell；
  - 如需开启测试签名模式（重启生效）：
    ```powershell
    bcdedit /set testsigning on
    ```

- **2. 加载内核驱动**
  - 将编译好的 `PhysicalMemoryOperation.sys` 和对应 `.inf`（如有）复制到测试机某目录；
  - 方式一：使用 `sc` 手动安装与启动：
    ```cmd
    sc create PhysicalMemoryOperation type= kernel binPath= C:\Path\To\PhysicalMemoryOperation.sys
    sc start PhysicalMemoryOperation
    ```
  - 方式二：使用第三方驱动加载工具（如 OSR Loader），指定 `sys` 路径加载。

- **3. 运行用户层程序**
  - 确保驱动成功加载后，运行编译好的 `R3.exe`（需管理员权限）；
  - 程序将：
    - 读取 `C:\Windows\RandomLink.txt` 获取真实设备链接和 XOR 密钥；
    - 通过 `Init(GetCurrentProcessId())` 初始化当前进程的 CR3；
    - 读取当前模块基址处的若干字节并以十六进制形式输出。

- **4. 自定义读取逻辑**
  - 你可以在 `R3.cpp` 中使用 `Memory` 类提供的接口实现更复杂的操作，例如：
    - 读取任意进程（指定 PID）的某个地址范围；
    - 将 `HexDump` 替换为结构化解析等。

## 风险与注意事项

- **高风险操作**：直接操作物理内存和切换 CR3/IRQL 属于极高风险行为，稍有不慎即可能导致系统蓝屏、数据损坏或安全问题。
- **仅限学习研究**：本项目仅用于操作系统、内核安全和内存管理相关的学习与研究，不保证在所有系统版本上的兼容性与稳定性。
- **权限要求**：加载驱动和访问物理内存必须在管理员权限下进行，并且可能需要关闭或放宽安全产品防护。

## 许可证

本项目使用 `LICENSE` 文件中所列的开源许可证。  
在使用或修改本项目代码前，请仔细阅读并遵守相应条款。

CR3PhysMemExplorer

CR3PhysMemExplorer 최신버젼 다운로드

오늘의 추천 프로젝트

Was this content helpful?

Recent Feedback

CR3PhysMemExplorer

CR3PhysMemExplorer 최신버젼 다운로드

오늘의 추천 프로젝트

Was this content helpful?

Recent Feedback

Download README