Windows内核MDL内存读写技术详解.pdfVIP

MDL内存读写是最常用的一种读写模式，通常需要附加到指定进程空间内然后调用内存拷贝获取对端内存

中的数据，在调用结束后再释放其空间，通过这种方式实现内存读写操作。此模式的读写操作也是最推荐

使用的，相较于CR3切换来说，该方式更稳定且不会受寄存器的影响。

MDL内存步骤

1.调用PsLookupProcessByProce获取进程Process结构

体2.调用KeStackAttachProcess附加到对端进程3.调用

ProbeForRead检查内存可读写性4.将内存空间数据拷贝至自

身缓冲区5.调用KeUnstackDetachProcess解除绑定6.调用

ObDereferenceObject将对象计数减1

代码大致结构如下，用户传入一个结构体，输出对应长度的字节数据：

MDL内存读写是最常用的一种读写模式，通常需要附加到指定进程空间内然后调用内存拷贝得到对端内存

中的数据，在调用结束后再将其空间释放掉，通过这种方式实现内存读写操作，此种模式的读写操作也

是最推荐使用的相比于CR3切换来说，此方式更稳定并不会受寄存器的影响。

MDL内存步骤

1.调用PsLookupProcessByProce得到进程Process结构