会话空间中的win32k.sys映射地址

如何解决会话空间中的win32k.sys映射地址

| 我的问题： 当将win32k.sys加载到会话空间时，是否在每个会话中获得相同的基址？ 细节： 我正在为Windows（32位）编写内核模式设备驱动程序。在系统引导期间，它将作为标准WDM驱动程序加载到系统空间（全局内核模式内存）中。 但是在某些情况下，我需要访问win32k.sys导出的函数。确切地说，我正在编写一种有时需要假装为显示驱动程序的驱动程序。 我可能不会静态导入这些功能（即通过可执行导入表导入它们）。这是因为在创建会话的较晚阶段加载了win32k.sys。而且，它已加载到会话空间中。 不过，我已经找到了解决方法。在创建会话期间，我会动态导入所需的功能。我在当前会话中使用ѭ0和use1来查找win32k.sys的基地址。然后，使用该基址对它进行分析，以找到win32k.sys的导出目录并获取所需的函数指针。 目前，对于每个会话，我都会保留一个单独的导入函数数组。但是实际上，所有会话中的功能始终相同。意思是-win32k.sys被映射到每个会话中属于该会话空间的相同地址。 因此，我的问题是，是否可以保证在所有会话中将win32k.sys映射到相同的地址？ 除了节省内存外，这对我来说也很容易。当前，为了调用这样的函数，我需要一个特定于会话的上下文，在该上下文中存储了函数指针。     

解决方法

        我的经验是，在映射驱动程序的所有进程的上下文中，win32k.sys基址相同。在初始化期间，win32k.sys调用ѭ2来为桌面，窗口站以及驱动程序可能使用的其他对象创建对象类型内核对象。在所有进程的上下文中，这些内核对象必须位于相同的地址，以保持内核数据结构的一致性（例如，在“ 2”模块中有一个指向所有“对象类型”对象的指针数组）。 此外，win32k.sys包含系统调用表（

win32k!W32pServiceTable

）。表的地址再次存储在

ntoskrnl.exe

（

nt!KeServiceDescriptorTableshadow

）的固定位置。 因此，如果将win32k.sys驱动程序映射到不同会话中的不同地址，则

ntoskrnl.exe

的行为必须相同。这是不正确的（这种行为会引起其他问题，例如，使用“ѭ8”）。但是我没有在任何官方文档中看到这个事实。     ,        我不太确定，但我想答案是肯定的。 Win32k.sys只是另一个（特殊）dll文件，Windows上的每个dll文件在其PE标头中都有一个基地址。对于Windows（我认为）提供的win32k.sys，基址永远不应与其他系统dll（.sys）文件冲突。 为了安全起见，您可以使程序更具灵活性。一开始，您假设地址相同。但是您在实际调用该地址之前先检查该地址。这样，至少由于地址错误，系统将不会挂起。