所有内核模式驱动程序与Windows内核是否共享同一个虚拟地址空间？

Windows系统中，内核本身和所有内核模式驱动确实共享同一个内核虚拟地址空间，但这不代表驱动可以无限制访问所有内核数据结构。

地址空间共享的基本规则 #

• 32位Windows默认预留2GB的虚拟地址空间给内核模式使用，开启/3GB启动参数时会压缩为1GB，所有运行在ring 0权限的代码都可以访问这一范围内的合法内存地址。
• 64位Windows的内核模式地址空间容量通常为TB级，同样是所有内核模式代码的共享资源。

内核数据结构的访问限制 #

即使共享地址空间，内核也有多层机制限制驱动的访问行为：

• 分页权限控制：所有内核内存页都有明确的读写、执行权限标记，驱动尝试写入只读内存、执行无执行权限的内存页都会直接触发蓝屏错误，常见错误码包括ATTEMPTED_WRITE_TO_READONLY_MEMORY、PAGE_FAULT_IN_NONPAGED_AREA等。
• 补丁保护（PatchGuard）：64位Windows默认开启的保护机制，会实时监控内核关键数据结构（包括SSDT、IDT、内核全局关键变量等）的未授权修改，检测到非法操作后会直接触发BSOD强制系统停止运行。
• 内核数据保护（KDP）：Windows 10 1809及之后版本新增的特性，将部分核心内核数据结构标记为只读，即使是内核模式代码也无法修改这些区域的内容。
• 未公开结构限制：大量内核核心数据结构属于微软未公开的内部实现，不会对外提供结构体定义，驱动即使拿到对应内存地址也无法正确解析内容，随意访问只会导致系统异常。

只有在关闭驱动签名校验、关闭PatchGuard的测试模式环境下，经过特殊开发的驱动才有可能获得全内核内存的访问权限，但这类驱动不符合微软官方开发规范，无法通过WHQL认证，且会大幅降低系统稳定性和安全性。

内容的提问来源于stack exchange，提问作者JoeT