Как в винде узнать по адресу в физической памяти имя процесса, для которого этот адрес выделен?

Question

[cicatrix]

Вопрос в заголовке. Есть адрес в физ. памяти, как узнать имя процесса, для которого выделен блок памяти, содержащий этот адрес?

Comments

[Василий Банников]

Перебрать все запущенные процессы и нахначенные им участки памяти

[15432]

Вам придется сначала оттранслировать физическую память обратно в виртуальную для каждого процесса, что нетривиально.

[cicatrix]

15432, Оттого и спрашиваю

[cicatrix]

Василий Банников, Это физический адрес, не виртуальный

[15432]

cicatrix, тогда ищите в памяти структуры EPROCESS, по ним можно определить, к какому процессу они относятся, дергайте оттуда значение CR3, и из него уже разворачивайте структуру маппинга VIRT->PHYS, и если ваш диапазон физ память попадает в маппинг, то это нужный процесс.
Подробнее про маппинг тут
https://www.triplefault.io/2017/08/exploring-windo...

Если это всё на живой системе делается, то в WinDbg поиграться можно, он умеет показывать все процессы, структуры ядра, трансляцию памяти. Вам нужна функция ptov, которая показывает мапинг физ->вирт
https://docs.microsoft.com/en-us/windows-hardware/...

[cicatrix]

15432, Спасибо, посмотрю

Answer 1

[АртемЪ]

Никак.
Процессам винда выделяет адреса только в виртуальной памяти, поэтому куда там он попадет в физической неизвестно.

Comments

[cicatrix]

Ну, сама винда же этой памятью как-то управляет, должно же быть что-то, что позволит транслировать физ в вирт

[АртемЪ]

Разве что ковырять таблицы page-frame в которых VMM хранит структуру памяти.