页式映射
本系列截图来自网络搜索及以下基本书籍:
《Windows内核设计思想》
《Windows内核情景分析》
《WINDOWS内核原理与实现》
一个32位虚拟地址，该地址其实分为三个部分：页目录表偏移、页表偏移和页偏移。其22-31位表示页目录表偏移，12-21位表示页表偏移，剩下的0-11位表示页面内偏移。
映射过程如下:
以最常见的物理页面为4K规格为例。
首先我们获得一个32位虚拟地址，然后查询CR3寄存器，确认页目录表(PDT)的位置，根据虚拟地址22-31位的偏移值找到该页面目录项(PDE),该页面目录项指向一个页表(PT)，再根据虚拟地址12-21位的偏移值找到该页面项(PTE)，该页面项指向一个4K大小的内存页，根据虚拟地址的0-11位的页面内偏移找到物理地址。
页面目录表的偏移和页面表的偏移之所以是10位
是因为2的10次方=1024
也就是页面目录表和页面表的中包含有1024个选项
每个选项保存的是一个32位地址(指向页表或者物理内存页) 也就4字节
1024*4 = 4K
刚好就是一个物理页面的长度
而虚拟地址中的页偏移是0-11位 刚好12位
2的12次方式4096 也就是4K
刚好描述一个物理内存页的小大。
//==============================
使用windbg来验证分页机制
参考：http://www.cnblogs.com/winston/archive/2009/04/12/1434225.html
实验环境： 32位windows操作系统 未开启PAE地址扩展
安装了windbg调试器
首先开启计算器 在其中输入9999几个数字
使用windbg 附加到这个计算器进程上
输入 x calc!gpsz*
如下:
0:002> x calc!gpsz*
01014dc4 calc!gpszNum = <no type information>
再看看 01014dc4 这个地址包含了什么
0:002> dd 01014dc4
01014dc4 000b11d8 00000008 00000000 00000001
01014dd4 00000000 00000000 ffffffff 00000000
01014de4 00000000 00000006 00330032 00320034
再看看地址000b11d8 存储的什么数字
0:002> du 000b11d8
000b11d8 "9999."
到这里我们就可以确认 进程 calc.exe 中地址000b11d8 存储内容为"9999.";
我们再开启一个windbg 进入本地内核调试模式 kernel debug->local
先获取所有进程信息
kd> !process 0 0
PROCESS 84a5c278 SessionId: 0 Cid: 0b0c Peb: 7ffd4000 ParentCid: 00a8
DirBase: 0d69a000 ObjectTable: e1fba560 HandleCount: 44.
Image: calc.exe
PROCESS 845ed400 SessionId: 0 Cid: 0be0 Peb: 7ffdd000 ParentCid: 00a8
DirBase: 17b94000 ObjectTable: e1ee9ac0 HandleCount: 108.
Image: windbg.exe
PROCESS 8454da10 SessionId: 0 Cid: 0f68 Peb: 7ffdf000 ParentCid: 041c
DirBase: 0c5f7000 ObjectTable: e1e739b8 HandleCount: 112.
Image: wuauclt.exe
PROCESS 84a5fc00 SessionId: 0 Cid: 059c Peb: 7ffd3000 ParentCid: 0330
DirBase: 0c13d000 ObjectTable: e1f9d820 HandleCount: 155.
Image: wmiprvse.exe
得到calc.exe进程信息 其中DirBase: 0d69a000即是指向页面目录表的物理页面
而在页面目录表的偏移就是虚拟地址000b11d8 的高10位 就是0(0000 0000 00)
使用!dd 查看物理地址内容 页面目录表加偏移的内容
kd> !dd 0d69a000 +0
# d69a000 0d881867 0d667867 0d443867 00000000
# d69a010 0d834867 00000000 00000000 00000000
# d69a020 00000000 00000000 00000000 00000000
# d69a030 00000000 00000000 00000000 00000000
# d69a040 00000000 00000000 00000000 00000000
# d69a050 00000000 00000000 00000000 00000000
# d69a060 00000000 00000000 00000000 00000000
# d69a070 00000000 00000000 00000000 00000000
0d881867即使页面表的物理地址，同样我们只取高20位，低12位是该物理页面的属性记录
页面表的偏移是虚拟地址000b11d8 中间10位 也就是 0b1 （00 1011 0001）
读取页面表加偏移的内容
kd> !dd 0d881000 +b1*4 l1
# d8812c4 0d75e867
最后获得了页面 页面同样只取高20位，低12位是该物理页面的属性记录
偏移是虚拟地址000b11d8 低12位也就是1d8
kd> !dd 0d881000 +b1*4 l1
# d8812c4 0d75e867
使用!du 指令来读取物理页面的内容
kd> !du 0d75e000+1d8
# d75e1d8 "234234."
与虚拟地址000b11d8 内容一致
即 calc.exe进程中 虚拟地址000b11d8转化为物理地址0d75e000+1d8