Как сопоставить физическую память виртуальной?

Добрый вечер, форум, практически неделю не могу найти подходящую информацию, поэтому решил поднять данную тему.
Итак, как всем известно виртуальный адрес можно найти посредству оффсетов, например, как
"процесс.exe" + 0x50
Но вот как работать с физическим - для меня совсем загадка... Какие есть способы найти физический адрес?
Могу единожды найти физ адрес, но после перезагрузки потеряется... Оффсеты, как уже убедился не работают в случае с физ. память. Буду рад подсказкам

 

Видимо посмотрел везде кроме первой ссылке в гугле: https://resources.infosecinstitute....ysical-address-on-windows-physical-addresses/

 

LastNoob,

Intel® 64 and IA-32 Architectures Software Developer’s Manual
Combined Volumes: 1, 2A, 2B, 2C, 2D, 3A, 3B, 3C, 3D and 4
4.2 HIERARCHICAL PAGING STRUCTURES: AN OVERVIEW

 

Rel, благодарю за статью, с английским туго, но вот перечитываю снова в поисках истины...
Можете подсказать, что это за инструмент kd> ? это WinDbg, правильно понимаю?
Если да, то как его вызвать, запустил сам WinDbg, включил командную строку, а там 0:021>
Пробую гуглить, да вот две буквы kd мало о чем говорят, может быть у них есть полное название, так проще будет найти

 

kd в данном случае в windbg означает kernel debugging сессию , а не user mode

 

Аа, вот теперь я понял, благодарю, уже пробовал запустить kd.exe по-разному, а это режим)
А если у меня отображает как lkd> это одно и то же или нет?

 

Rel, не хотел отвлекать, но все же... можно? (раз личка закрыта, напишу здесь)
Все получилось, остались несколько вопросов. Статью перечитал, на x64 win10 не работает, поставил win10x86, вот там все встало на свои места... Увы, автор это не говорил
А получилось следующее, на вин64 установлена виртуалка, в вин32 нашел физ адрес, убедился в корректности.
Перешел на этот адрес в вин64 - значение другое, вот скрины, не подскажите, почему такое возможно? или физический адрес - очередная виртуализация?

Спойлер: Скрины

(вин32)

 

Скорее всего да, зависит канеш от конкретной реализации конкретного вендора виртуализации, но как бы давать виртуальной системе доступ к физической памяти хоста - это довольно несекьюрная вещь.

 

а это поможет в случае с виртуальной машиной?

 

Еще один момент - в обоих системах (что хост, что гостевая) нужно отключить свопинг, чтобы данные располагались точно в физ. памяти, верно думаю?

 

У многих вендоров виртуализации есть апи, через которые можно управлять виртуальной машиной, возможно через апи можно получать физическую память, это надо копаться в доках по апи. С другой стороны, зачем тебе с хоста читать виртуализированную физическую память, если ты можешь внутри виртуальной машины загрузить дров и читать ее как из режима ядра внутри виртуалки?

 

Этот топик, есть продолжение саги о бесследном чтении памяти, в обход анти-чита. Тогда считал, что физ адрес внутри вируалки = физ адрес основной системы.
Сейчас, как советовал _edge, попробую отключить файлы подкачки, если я его верно понял..
Пока что не знаю, как античит реагирует на чтение физ.памяти той же системы

 

Еще вариант сделать сетевой мост с виртуалкой и подключиться удаленным ядерным отладчиком.

--- Сообщение объединено, 12 янв 2020 ---

https://docs.microsoft.com/en-us/windows-hardware/drivers/debugger/remode-debugging-using-windbg

--- Сообщение объединено, 12 янв 2020 ---

Но дебаг сервер все равно висеть будет, что может стриггерить античит.

 

LastNoob,

> Этот топик, есть продолжение саги о бесследном чтении памяти, в обход анти-чита.

В той теме были даны ссылки на лучший материал по этой теме. С него и нужно было начинать, а не с архитектуры(механизмов адресной трансляции). Я бы на твоём месте послушал старших, вы будите бесконечно это обсуждать но так и не найдёте решение, которое уже давно найдено. С-анклавы проработаны вдоль и поперёк, эта задача снята.

 

Как, какими командами ?

 

куча вирт в исходниках есть.. что кему, что виртуалбокс.. бери их и кастамь акь тебе надо.

 

О хоспаде, ты видимо плохо себе представляешь, что такое большой проект на плюсах.