大家都知道，windows接管了對(duì)物理內(nèi)存的直接存取，而bios信息存在物理內(nèi)存
的f000:0000處，關(guān)鍵就是如何讀取物理內(nèi)存。
  查閱了msdn的文章后，發(fā)現(xiàn)以下有幾個(gè)函數(shù)和物理內(nèi)存訪問有關(guān)：
NTSTATUS ZwOpenSection(OUT PHANDLE SectionHandle, IN ACCESS_MASK DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes);
NTSTATUS ZwMapViewOfSection(IN HANDLE SectionHandle,
              IN HANDLE ProcessHandle,
              IN OUT PVOID *BaseAddress,
              IN ULONG ZeroBits,
              IN ULONG CommitSize,
              IN OUT PLARGE_INTEGER SectionOffset OPTIONAL,
              IN OUT PSIZE_T ViewSize,
              IN SECTION_INHERIT InheritDisposition,
              IN ULONG AllocationType,
              IN ULONG Protect
              );
NTSTATUS ZwUnmapViewOfSection(IN HANDLE ProcessHandle,IN PVOID BaseAddress);

用到的結(jié)構(gòu)定義如下

typedef struct _UNICODE_STRING {
USHORT Length;//長(zhǎng)度
USHORT MaximumLength;//最大長(zhǎng)度
PWSTR Buffer;//緩存指針，訪問物理內(nèi)存時(shí)，此處指向UNICODE字符串"\device\physicalmemory"
} UNICODE_STRING,*PUNICODE_STRING;


typedef struct _OBJECT_ATTRIBUTES {
  ULONG Length;//長(zhǎng)度 18h
  HANDLE RootDirectory;// 00000000
  PUNICODE_STRING ObjectName;//指向?qū)ο竺�的指�?
  ULONG Attributes;//對(duì)象屬性00000040h
  PVOID SecurityDescriptor;    // Points to type SECURITY_DESCRIPTOR，0
  PVOID SecurityQualityOfService; // Points to type SECURITY_QUALITY_OF_SERVICE，0
} OBJECT_ATTRIBUTES;
typedef OBJECT_ATTRIBUTES *POBJECT_ATTRIBUTES;



函數(shù)說明
第一個(gè)函數(shù)ZwOpenSection用來打開section，第一個(gè)參數(shù)是指向HANDLE變量的指針，第二個(gè)是訪問參數(shù)，第三個(gè)是指向OBJECT_ATTRIBUTES的指針
第二個(gè)函數(shù)ZwMapViewOfSection用來建立物理內(nèi)存和當(dāng)前進(jìn)程的一段物理內(nèi)存的聯(lián)系，參數(shù)很多，一會(huì)在例程里再詳細(xì)解釋
第三個(gè)函數(shù)ZwUnmapViewOfSection用來斷開物理內(nèi)存和當(dāng)前進(jìn)程中的映射斷開聯(lián)系，第一個(gè)參數(shù)是進(jìn)程句柄，必須掉用第二個(gè)函數(shù)時(shí)一樣，第二
個(gè)是當(dāng)前進(jìn)程中映射的基址，由ZwMapViewOfSection返回

這三個(gè)函數(shù)都在ntdll.dll中，msdn里的幫助說這幾個(gè)函數(shù)用在驅(qū)動(dòng)編制上。
例程如下

//結(jié)構(gòu)定義
typedef struct _UNICODE_STRING {
USHORT Length;//長(zhǎng)度
USHORT MaximumLength;//最大長(zhǎng)度
PWSTR Buffer;//緩存指針
} UNICODE_STRING,*PUNICODE_STRING;

typedef struct _OBJECT_ATTRIBUTES {
  ULONG Length;//長(zhǎng)度 18h
  HANDLE RootDirectory;// 00000000
  PUNICODE_STRING ObjectName;//指向?qū)ο竺�的指�?
  ULONG Attributes;//對(duì)象屬性00000040h
  PVOID SecurityDescriptor;    // Points to type SECURITY_DESCRIPTOR，0
  PVOID SecurityQualityOfService; // Points to type SECURITY_QUALITY_OF_SERVICE，0
} OBJECT_ATTRIBUTES;
typedef OBJECT_ATTRIBUTES *POBJECT_ATTRIBUTES;

//函數(shù)指針變量類型生命
typedef DWORD (__stdcall *ZWOS)(PHANDLE,ACCESS_MASK,POBJECT_ATTRIBUTES);
typedef DWORD (__stdcall *ZWMV)(HANDLE,HANDLE,PVOID,ULONG,ULONG,PLARGE_INTEGER,PSIZE_T,DWORD,ULONG,ULONG);
typedef DWORD (__stdcall *ZWUMV)(HANDLE,PVOID);
//以上在程序開始定義全局變量處定義

//以下在程序的主函數(shù)里
//變量聲明
    UNICODE_STRING struniph;
  OBJECT_ATTRIBUTES obj_ar;
  ZWOS ZWopenS;
  ZWMV ZWmapV;
  ZWUMV ZWunmapV;
  HANDLE hSection;
  DWORD ba;
  LARGE_INTEGER so;
  SIZE_T ssize;
  so.LowPart=0x000f0000;//物理內(nèi)存的基址，就是f000:0000
  so.HighPart=0x00000000;
  ssize=0xffff;
  wchar_t strPH[30]=L"\\device\\physicalmemory";
//變量初始化
    ba=0;//聯(lián)系后的基址將在這里返回
    struniph.Buffer=strPH;
  struniph.Length=0x2c;//注意大小是按字節(jié)算
  struniph.MaximumLength =0x2e;//也是字節(jié)
    obj_ar.Attributes =64;//屬性
  obj_ar.Length =24;//OBJECT_ATTRIBUTES類型的長(zhǎng)度
  obj_ar.ObjectName=&struniph;//指向?qū)ο蟮闹羔?
  obj_ar.RootDirectory=0;
  obj_ar.SecurityDescriptor=0;
    obj_ar.SecurityQualityOfService =0;
//讀入ntdll.dll,得到函數(shù)地址
    hinstLib = LoadLibrary("ntdll.dll");
  ZWopenS=(ZWOS)GetProcAddress(hinstLib,"ZwOpenSection");
    ZWmapV=(ZWMV)GetProcAddress(hinstLib,"ZwMapViewOfSection");
  ZWunmapV=(ZWUMV)GetProcAddress(hinstLib,"ZwUnmapViewOfSection");
//調(diào)用函數(shù)，對(duì)物理內(nèi)存進(jìn)行映射
    ZWopenS(&hSection,4,&obj_ar);
  ZWmapV(
       (HANDLE)hSection, //打開Section時(shí)得到的句柄
       (HANDLE)0xffffffff, //將要映射進(jìn)程的句柄，
       &ba, //映射的基址
       0, //沒怎么看明白,設(shè)為0就好了
       0xffff, //分配的大小
       &so, //物理內(nèi)存的地址
       &ssize, //指向讀取內(nèi)存塊大小的指針
       1, //子進(jìn)程的可繼承性設(shè)定
       0, //分配類型
       2 //保護(hù)類型
       );
    //執(zhí)行后會(huì)在當(dāng)前進(jìn)程的空間開辟一段64k的空間，并把f000:0000到f000:ffff處的內(nèi)容映射到這里
    //映射的基址由ba返回,如果映射不在有用,應(yīng)該用ZwUnmapViewOfSection斷開映射
BTW:
思路主要是來之上次跟蹤的聯(lián)想的安裝驗(yàn)證程序,真的要感謝聯(lián)想的技術(shù)人員了:-)。