0.ring0-PAE-(虚拟地址转换成物理地址详细示例)

待我称王封你为后i 2022-08-05 11:29 157阅读 0赞

PAE是Physical Address Extension的缩写，即物理地址扩展。简单来说，就是把IA-32处理器的寻址能力从原来的4GB扩展到64GB。寻址4GB空间，要求物理地址的宽度为32位。类似的，要寻址64GB空间，那么物理地址的宽度就是36位。因为这个原因，PAE又被称为PAE-36bit。

一般电脑都可以轻松看出是不是使用了PAE，最简单是看系统属性：

![Center][]

如果不启用PAE机制，每个进程的DirBase 的低12位应该是0，**启用PAE机制低5位是0**。在lkd模式下，!pte显示是不正确的

以下是PAE启用的显示:

![Center 1][]

以下为示例：

代码：

**\[cpp\]** [view plain][] [copy][view plain] [![在CODE上查看代码片][CODE]][CODE_CODE] [![派生到我的代码片][ico_fork.svg]][ico_fork.svg 1]

1.  **char** \*g\_test = "123456789"; 
2.  
3.  **int** main() 
4.  \{ 
5.   printf(g\_test);

1.找到g\_test的地址

**\[cpp\]** [view plain][] [copy][view plain] [![在CODE上查看代码片][CODE]][CODE_CODE] [![派生到我的代码片][ico_fork.svg]][ico_fork.svg 1]

1.  00498004 test!g\_test = 0x00486c6c "123456789"

2.启用内核调试，观察test进程：

![Center 2][]

上面标红的即为CR3的值，即PDPTR的内容

我们再查看下虚拟地址分解：

![Center 3][]

==》

最高两位是页目录表指针表的索引（00）

接下来9位是页目录索引即2

接下来9位为页表索引即0x86

最后12位是页内偏移为0Xc6c

**\[cpp\]** [view plain][] [copy][view plain] [![在CODE上查看代码片][CODE]][CODE_CODE] [![派生到我的代码片][ico_fork.svg]][ico_fork.svg 1]

1. </pre>可以这样理解，三张表：页目录指针表-->页目录表基地址页目录表-->页表基地址页表+页内偏移即为物理地址3.首先通过02b40320观察指针表，因为是物理地址，所以用!dq<pre code\_snippet\_id="224619" snippet\_file\_name="blog\_20140308\_4\_3950583" name="code"**class**="cpp">kd> !dq 02b40320 
2. \# 2b40320 00000000\`0313a801 00000000\`1fdfb801
3. \# 2b40330 00000000\`1fc3c801 00000000\`03579801
4. \# 2b40340 00000000\`10c5e801 00000000\`10bdf801
5. \# 2b40350 00000000\`10ce0801 00000000\`10d5d801
6. \# 2b40360 00000000\`111bb801 00000000\`1123c801
7. \# 2b40370 00000000\`1143d801 00000000\`1137a801
8. \# 2b40380 00000000\`115dd801 00000000\`1151e801
9. \# 2b40390 00000000\`1145f801 00000000\`1165c801

每个指针对共有4个表项，每个表项是8字节（64位），上面2分析为0号表项，即00000000\`0313a801

4.把00000000\`0313a801砍去低12位，高32位，就是页目录表的基地址为0313a000,观察它的第2项：

**\[cpp\]** [view plain][] [copy][view plain] [![在CODE上查看代码片][CODE]][CODE_CODE] [![派生到我的代码片][ico_fork.svg]][ico_fork.svg 1]

1.  kd> !dq 313a000+8\*2 
2.  \# 313a010 00000000\`03425867 00000000\`00000000

5.把00000000\`03425867砍去低12位，高32位，就是页表基地址为：03425000，观察它的0x86项：

**\[cpp\]** [view plain][] [copy][view plain] [![在CODE上查看代码片][CODE]][CODE_CODE] [![派生到我的代码片][ico_fork.svg]][ico_fork.svg 1]

1.  kd> !dq 03425000+0x86\*8 
2.  \# 3425430 00000000\`03f80025 00000000\`03301025
3.  \# 3425440 00000000\`00000000 00000000\`00000000
4.  \# 3425450 00000000\`1fc2e025 00000000\`00000000
5.  \# 3425460 00000000\`00000000 00000000\`00000000
6.  \# 3425470 00000000\`00000000 00000000\`00000000
7.  \# 3425480 00000000\`031b7025 00000000\`00000000
8.  \# 3425490 00000000\`00000000 00000000\`00000000
9.  \# 34254a0 00000000\`00000000 00000000\`0362c025

6.把00000000\`03f80025砍去低12位，高32位，即内存页基地址为03f8000,加上页内偏移c6c：

![Center 4][]

下面再发张全图加深下理解：

注意PAE是扩展，所以都是64位的：

![Center 5][]

![Center 6][]

[Center]: /images/20220731/24f9bf345a9e4ee686e4aa253dcb9be3.png
[Center 1]: /images/20220731/18559fac968e4f8290f50681e5e148aa.png
[view plain]: http://blog.csdn.net/hgy413/article/details/20778245#
[CODE]: https://code.csdn.net/assets/CODE_ico.png
[CODE_CODE]: https://code.csdn.net/snippets/224619
[ico_fork.svg]: https://code.csdn.net/assets/ico_fork.svg
[ico_fork.svg 1]: https://code.csdn.net/snippets/224619/fork
[Center 2]: /images/20220731/450385cb634a4bdf9f654fce96303e24.png
[Center 3]: /images/20220731/c1e59100194c4a3b9e13e7ce0423b538.png
[Center 4]: /images/20220731/08b04f173b5e47689bb58540cec4c2bd.png
[Center 5]: /images/20220731/c85193129c8f4480a345023cc44147a1.png
[Center 6]: /images/20220731/ca3f7246318645a68b2ce9862ed97b3c.png