突破Windows XP 4G内存限制续.docVIP

上次经过一段时间的研究后，发现了通过修改ntkrnlpa.exe可以突破Windows XP 4G内存限制，完全使用4G以上物理内存（/showthread.php?t=137830），但是在测试过程中发现使用USB存储设备时会出现蓝屏等问题，后来因为太忙，也没能继续研究。最近难得短暂清闲，功夫不负有心人，花了一个多星期终于找到问题所在了，下面谈谈在探索过程中的一些心得。1．首先替换usb相关驱动既然一插U盘就蓝屏，而使用USB鼠标、摄像头等都没有问题，那么首先怀疑是usbstor.sys的问题。Windows 2003可以支持4G以上物理内存，那么我们将Windows 2003的USB驱动替换到XP上来，首先替换usbstor.sys，现象依旧。那么全部替换usb相关驱动，包括usbstor.sys、usbport.sys、usbhub.sys、usbehci.sys等，XP可以正常启动，USB设备也能使用，但经反复测试，发现使用U盘时有时还是会蓝屏。2．是谁造成了内存访问越界？种种蓝屏迹象表明，很可能是因为内存读写越界造成的。破解4G限制后，虽然物理地址扩展到32位以上，但是虚拟地址依然是32位的啊，使用虚拟地址的程序不可能造成内存访问越界啊。那么有哪些代码用到了物理地址呢？ 首先想到的是内存分页管理，负责映射物理地址到虚拟地址空间，维护了一个物理内存的页帧数据库MmPfnDatabase，会不会是因为物理地址空间扩大后，这个页帧数据库并没有扩大，而导致映射4G以上物理内存时发生错误呢？一番折腾，在MiInitMachineDependent函数中找到了如下代码 代码: MmFreePagesByColor[0] = (PMMCOLOR_TABLES)MmPfnDatabase[MmHighestPossiblePhysicalPage + 1]; 看来XP对这个数据库空间还是有考虑的，验证一下 代码: lkd dd MmPfnDatabase 8088b0c8 818c6000 0000ff000000003f lkd dd MmHighestPossiblePhysicalPage 8088b120 00137fff 00137fff 000f7379MMPFN结构体大小为1C字节 代码: lkd dt _MMPFN nt!_MMPFN +0x000 u1 : __unnamed +0x004 PteAddress : Ptr32 _MMPTE +0x008 u2 : __unnamed +0x00c u3 : __unnamed +0x010 OriginalPte : _MMPTE +0x018 u4 : __unnamed lkd ?818c6000+(137fff+1)*1c Evaluate expression: -2085724160 = 83ae6000 lkd dd MmFreePagesByColor 83ae6000 83ae6300 c0883000 f77fffff MmPfnDatabase确实是预留了足够大的空间，既然MmPfnDatabase空间足够大，那就不存在页面映射错误，还会是谁会直接操作物理地址呢？3．谁动了我的物理地址？感谢Geoff Chappell的一篇文章《Licensed Memory in 32-Bit Windows Vista》其中提到了微软官方关于Windows XP sp2以后版本无法显示全部物理内存的答复：《The RAM reported by the System Properties dialog box and the System Information tool is less than you expect in Windows Vista or in Windows XP Service Pack 2 or later version》，从这里又链接到完整版的介绍：《Changes to Functionality in Microsoft Windows XP Service Pack 2Part 3: Memory Protection Technologies》其中讲到了 引用: The largest driver PAE compatibility issue involves direct memory access (DMA) transfers and map reg