Windows内核驱动无法访问\Device\PhysicalMemory是因内核硬编码拦截，应改用MmMapIoSpace映射已知物理地址，需页对齐、指定缓存属性并及时解映射，全内存扫描在现代系统中基本不可行。
Windows内核驱动中无法直接打开 \Device\PhysicalMemory
从 Windows XP SP2 开始，微软就禁用了用户态对 \Device\PhysicalMemory 的访问；到了 Windows 8.1 及以后（尤其是启用 SMEP/SMAP 或 HVCI 的系统），内核驱动也**默认无法通过 ZwOpenSection + \Device\PhysicalMemory 获取物理内存句柄**。这不是权限配置问题，而是内核在 ObReferenceObjectByName 阶段就硬编码拦截了该对象名——即使你用 SeDebugPrivilege 或提升至 SYSTEM 权限也无效。
常见错误现象包括：STATUS_OBJECT_NAME_NOT_FOUND（Win10 1809+ 常见）、STATUS_ACCESS_DENIED（部分旧版 PatchGuard 启用时），或驱动加载后直接触发 BSOD（如 ATTEMPTED_EXECUTE_OF_NOEXECUTE_MEMORY）。
- 不要尝试绕过对象管理器重命名或伪造设备对象——现代内核会校验
OBJECT_HEADER标志位 - 不要依赖已过时的 PoC 驱动（如 old
winio.sys衍生品），它们在 Win11 22H2+ 上基本失效 -
\Device\PhysicalMemory在内核中根本不是“可映射节对象”，它只是个占位符设备，背后没有SECTION_OBJECT_POINTERS
正确方式：用 MmMapIoSpace 映射指定物理地址
如果你需要读写某段已知物理地址（比如 PCI 设备 BAR、固件保留区、ACPI 表起始地址），应使用 MmMapIoSpace，它不依赖 \Device\PhysicalMemory，而是直接操作 MMU 页表。
关键点：
立即学习“C++免费学习笔记（深入）”；
- 必须传入真实的、页对齐的物理地址（如
0x100000，不能是0x100005） - 长度需为页大小整数倍（
PAGE_SIZE= 4KB，默认）；若需小范围访问，先映射整页再取偏移 - 缓存属性要匹配硬件行为：
MmNonCached（最常用）、MmCached（仅适用于 RAM 区域且确认无 coherency 问题）、MmWriteCombined（显存/IO 设备） - 映射后得到的是内核虚拟地址，用完必须调用
MmUnmapIoSpace，否则造成 VA 泄漏（x64 下虽大但有限）
示例（映射物理地址 0x80000000 开始的 4KB）：
PHYSICAL_ADDRESS physAddr = { .QuadPart = 0x80000000ULL };
PVOID virtAddr = MmMapIoSpace(physAddr, PAGE_SIZE, MmNonCached);
if (!virtAddr) {
// 失败：地址非法、内存不可映射（如被 EFI 保留）、IRQL 过高
}
// ... 使用 *(volatile ULONG*)virtAddr ...
MmUnmapIoSpace(virtAddr, PAGE_SIZE);
为什么不用 IoAllocateMdl + MmMapLockedPages？
这套组合用于映射**已分配的内核内存（如 ExAllocatePoolWithTag 出来的缓冲区）**，目的是让 DMA 设备能访问它。它不适用于任意物理地址——因为 IoAllocateMdl 要求传入的是虚拟地址，且对应内存必须是连续物理页（MDL_PAGES_LOCKED 模式下还要求锁定）。
典型误用场景：
- 试图把
0x12345000当作虚拟地址传给IoAllocateMdl→ 触发BUGCODE_USB_DRIVER或通用保护异常 - 用
MmGetPhysicalAddress取某个全局变量地址再套用此流程 → 得到的是当前运行 CPU 的 TLB 映射结果，跨 CPU 不一致，且非所有内核 VA 都有 1:1 物理映射 - 在 DISPATCH_LEVEL 调用
MmMapLockedPages→ 可能引发死锁（内部可能触发页面调度）
物理内存扫描类需求的实际限制
想实现类似“全物理内存 dump”或“Page Table 扫描”？这在现代 Windows 上几乎不可行：
- UEFI 启动后，大量低物理地址（
0–16MB）被标记为ACPI NVS、Reserved或EfiBootServicesCode，MmMapIoSpace会拒绝映射 - 内核启用
Kernel VA Shadow（KVAS）后，部分物理页被故意隐藏，即使映射成功读出来也是 0 - HVCI（Hypervisor-protected Code Integrity）强制开启时，内核会阻止任何对非签名内存区域的执行/读取，
MmMapIoSpace返回 NULL 是预期行为 - 没有 API 能枚举“所有可用物理页帧”——
MmQuerySystemSize和MmGetPhysicalMemoryRanges返回的只是启动时快照，不包含热插拔内存或 firmware 动态占用区
真正能稳定工作的，只有你明确知道地址来源的场景：PCIe 配置空间（0xE0000000 起）、ACPI RSDT/XSDT（从 RSDP 查得）、或者通过 HalGetBusData 获取的设备资源。
