页表基址PAE(29912)

取个名字太难了a2025-12-10 11:41

分析MmIsAddressValid函数

MmIsAddressValid 是 Windows 内核（对于29912分页是ntkrnlpa.exe）提供的一个函数，用于：

它用来检测一个地址是否有有效页表项（PTE/PDE），并且该页已经被 page-in（commit）且 present 位为 1。

MmIsAddressValid 只是一个外壳，它真正执行地址检查的是内部函数 MiIsAddressValid。

根据分析可以得出以下结论:

cpp 复制代码

PDE_address = (VA>>0x12)&0x3ff8 + 0xC0600000
PTE_address = (VA>>0x9)&0x7FFFF8 + 0xC0000000

最后拿GDT表地址0x80b99000验证一下公式，完全正确！