WINDBG u win32k!NtUserSendInput 出现 Memory access error处理方法（）

最新推荐文章于 2025-10-01 14:52:29 发布
转载 最新推荐文章于 2025-10-01 14:52:29 发布 · 5.4k 阅读 · 1
收录于
调试技术

当前文章被收录于：

调试技术
37 篇文章 2 人学习
订阅专栏 查看详情
本文提供了解决WINDBG调试过程中遇到的'Memory access error'问题的方法，包括使用`Process`命令查看地址空间，选择非SMSS.exe和SYSTEM.exe进程的EPROCESS进行`process`操作，然后在新地址空间中尝试解决问题。
WINDBG调试出现了这个问题...
请问何解?
kd> u win32k!NtUserSendInput
win32k!NtUserSendInput:
bf8c31e7 ?? ???
^ Memory access error in 'u win32k!NtUserSendInput'

这个意思是难道是WIN32K没有映射到内存?


解决方法:

1.首先使用 .Process命令.

你会发现你现在的地址空间在SYSTEM进程内.

2.使用 !Process 0 0获取进程列表.

选择一个非SMSS.exe非SYSTEM.exe的任何一个进程的EPROCESS.

3.执行 .process EPROCESS地址.

进行地址空间ATTACH.然后再尝试一下.

R0层获取ShadowSSDT函数原始地址实例
11-20
本实例由VS2008开发，在提供了一套驱动开发框架的同时，又演示了如何获取Shadow SSDT表函数原始地址的办法。 主要函数：ULONG GetShadowSSDT_Function_OriAddr(ULONG index); 原理说明： 根据特征码搜索导出函数KeAddSystemServiceTable来获取Shadow SSDT基址，以及通过ZwQuerySystemInformation()函数获取win32k.sys基址，然后解析PE定位到Shadow SSDT在win32k.sys的偏移地址，并通过进一步计算来得到Shadow SSDT表函数的原始地址。 这里只测试了三个函数：(460)NtUserMessageCall、(475)NtUserPostMessage和(502)NtUserSendInput，具体使用时可以举一反三，网上完整的源代码实例并不太多，希望可以帮到真正有需要的朋友。 系统环境： 在WinXP SP3系统 + 瑞星杀毒软件 打印输出： [ LemonInfo : Loading Shadow SSDT Original Address Driver... ] [ LemonInfo : 创建“设备”值为：0 ] [ LemonInfo : 创建“设备”成功... ] [ LemonInfo : 创建“符号链接”状态值为：0 ] [ LemonInfo : 创建“符号链接”成功... ] [ LemonInfo : 驱动加载成功... ] [ LemonInfo : 派遣函数(DispatchRoutine) IRP 开始... ] [ LemonInfo : 派遣函数(DispatchRoutine) IRP Enter IRP_MJ_DEVICE_CONTROL... ] [ LemonInfo : 获取ShadowSSDT表 (460)NtUserMessageCall 函数的“当前地址”为：0xB83ECFC4，“起源地址”为：0xBF80EE6B ] [ LemonInfo : 获取ShadowSSDT表 (475)NtUserPostMessage 函数的“当前地址”为：0xB83ECFA3，“起源地址”为：0xBF8089B4 ] [ LemonInfo : 获取ShadowSSDT表 (502)NtUserSendInput 函数的“当前地址”为：0xBF8C31E7，“起源地址”为：0xBF8C31E7 ] [ LemonInfo : 派遣函数(DispatchRoutine) IRP_MJ_DEVICE_CONTROL 成功执行... ] [ LemonInfo : 派遣函数(DispatchRoutine) IRP 结束... ] [ LemonInfo : UnLoading Shadow SSDT Original Address Driver... ] [ LemonInfo : 删除“符号链接”成功... ] [ LemonInfo : 删除“设备”成功... ] [ LemonInfo : 驱动卸载成功... ]
windbg Memory access error in 'u ntdll!_allmul'
weixin_33910434的博客
04-06 735
2019独角兽企业重金招聘Python工程师标准>>> ...
IAR debug时候出现的问题User error:Memory access error
weixin_43490725的博客
11-06 6523
在使用IAR debug时候出现的问题如User error:Memory access error等什么地址错误和路径错误。 问题： 在用IAR下载代码的时候出现如下提示的问题 解决办法：将Debugger/Setup/Driver 下的选项，选择你使用的下载方式，我的错误是一开始我这里是simulator,选择ST-LINK后就解决我的问题了。 ...
Windows内核新手上路2——挂钩shadow SSDT
多媒体编程、网络编程、系统编程、网络安全编程、驱动编程
08-15 2013
Windows内核新手上路2——挂钩shadow SSDT          文章核心内容：安全软件窗口保护、安全输入、截屏保护的一些思路。挂钩NtUserFindWindowEx、NtUserGetForegroundWindow、NtUserBuildHwndList、NtUserQueryWindow、NtUserWindowFromPoint、NtUserSetParent、NtUser
游戏保护资料总结
研究源码的最底层,只持有正确的仓位
01-15 1852
考虑 1.tp，np，QQ对游戏的驱动保护怎么做的 2.360保险箱怎么做的 3.从键盘按键到驱动，然后到应用层的编辑框，按键码怎么传过去的？ 比如QQ的编辑框接受，底层键盘钩子修改按键码 io device->总线->ioapic(prt table irq1 哪一个apic和中断号 int   9h 键盘中断处理  例程)->local apic->?? keyc...
用windbg为无效页面建立页面映射
lixiangminghate的专栏
01-05 966
前几天和同事扯淡，说调试驱动时访问无效内存会蓝屏，好麻烦，应该让windbg自动建立一个有效的页面，这样就不用蓝屏重启了。虽然说这是扯淡，但仔细想想貌似也不是不可能实现。     首先回顾一下OS解决内存缺页时简单步骤:1.搜索物理页面;2.修改虚拟地址对应的pte表的值;3.重新执行访存失败的指令。基于这样的思路，我也试了一下在windbg中手工建立内存映射(环境:win7 x32) 1.在
Windbg查看PsSetCreateProcessNotifyRoutine进程创建回调
q6771020的博客
06-03 549
kd> dd nt!PspCreateProcessNotifyRoutineCount L1 fffff803`6defadcc 00000006 kd> dd nt!PspCreateProcessNotifyRoutineExCount L1 fffff803`6defadc8 00000002
分析了一下360安全卫士的hook(zt)
lionzl的专栏
07-11 3500
分析了一下360安全卫士的hook(zt)2010-6-3 18:36阅读(12) 分析了一下360的HOOK,通过直接hook KiFastCallEntry实现以所有系统调用的过滤。 我分析的版本如下： 主程序版本: 6.0.1.1003 HookPort.sys版本: 1, 0, 0, 1005 HookPort.sys的TimeStamp: 4A8D4AB8 简
2021-03-28
H15710455173的博客
03-28 476
IAR编译常见错误 首先，申明这下面是转的。 Error[Cp001]: Copy protection check, No valid license found for this prod t [20] 原因：安装的时候没有把注册机的0x…字串的小写字母改为大写字母。 Warning[Pe001]: last line of file ends without a newline F:\emoTion\IAR\PK 升级\CC1110-8\main.c 原因：在使用IAR时常常会弹出类似这样一个警告,其
简单实现了下SSDT SHADOW HOOK
huobengle
11-03 835
介绍： SSDT SHADOW HOOK可用于安全软件窗口保护、安全输入、截屏保护等。例如：挂钩NtUserFindWindowEx、NtUserGetForegroundWindow、NtUserBuildHwndList、NtUserQueryWindow、NtUserWindowFromPoint、NtUserSetParent、NtUserPostMessage、NtUserMes...
内存泄露检测
我的E家
03-19 749
内存泄漏的定义  　 　一般我们常说的内存泄漏是指堆内存的泄漏。堆内存是指程序从堆中分配的，大小任意的（内存块的大小可以在程序运行期决定），使用完后必须显示释放的内 存。应用程序一般使用malloc，realloc，new等函数从堆中分配到一块内存，使用完后，程序必须负责相应的调用free或delete释放该 内存块，否则，这块内存就不能被再次使用，我们就说这块内存泄漏了。 以下这段小程序
东辉主动防御
banketree
10-02 6132
东辉主动防御软件是一款通过行为分析来识别和防御病毒木马程序的软件。 项目如图： BehaviorMon是主程序，BehaviorMon_driver是驱动操作部分。 效果如图： 分析： DataStruct.h 自定义数据接口：运行模式枚举类型、防御状态类型、被保护注册表信息、被保护文件信息、白名单结构体、保存被hook的n
一个反键盘记录工具的分析
08-22 1605
除了nProtect，国外还有一些反键盘记录工具，比如下面这个还不错：http://www.anti-keyloggers.com/是个通用型的，与QQ的nProtect专门用于保护密码不同。而且反破解做的不错（对我这种破解外行而言，呵呵）。它的原理我简单的说一下，就是替换键盘类驱动的KeyboardClassServiceCallback，然后把得到的ScanCode传递到用户态
ReactOS用户输入：键盘鼠标事件的处理流程
gitblog_00433的博客
09-04 1198
在操作系统开发中，用户输入处理是构建交互式界面的核心环节。ReactOS作为Windows兼容的开源操作系统，其键盘鼠标事件处理机制展现了复杂而精妙的系统设计。本文将深入剖析ReactOS中用户输入事件从硬件到应用程序的完整处理流程，帮助开发者理解Windows兼容系统的输入处理架构。 ## 输入处理架构概览 ReactOS的输入处理系统采用分层架构，主要包含以下组件： ```mermaid...
基于C#开发的简易自动按键工具——适用于网络游戏自动化操作
最新发布
weixin_35677363的博客
10-01 1483
要实现精准的键盘模拟，首先必须建立清晰、标准化的键码管理体系。Windows 操作系统通过虚拟键码（Virtual-Key Code）标识每一个物理或逻辑按键，这些值是调用 Win32 API 如或SendInput的核心参数。若直接使用原始数字常量（如0x1B表示Esc），代码可读性差且极易出错。因此，合理封装键码为命名常量或枚举类型，是提升开发效率和维护性的关键步骤。为进一步增强类型安全性与智能提示支持，可以将上述常量转换为 C# 枚举类型。
在windbg中显示win32k.sys调试符号
u012129783的博客
04-02 2297
在windbg中测试shadow ssdt , win32k!NtUserGetForegroundWindow , hook shadow ssdt 在windbg中查看shadow ssdt： 0: kd> lm start end module name 804d8000 806e3000 nt (pdb symbols) I:...
VC里面快速调用Nt系列函数示例方法
Koma的主页
12-19 5615
VC里面快速调用Nt系列函数示例方法，以NtTerminateProcess结束自己为例 当初研究的目的也只是为了一个稳定通用的ring3 inline hook bypass funaddr + 5的方法除外，如果你还有其他方法或思路，欢迎交流指导！
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值