XP 使用者模式記憶體空間剖析（一）：4GB 虛擬空間大架構與 249 區塊總覽

理論分區

• 0x00000000 ~ 0x0000FFFF：空指標指派區（64 KB）。
• 0x00010000 ~ 0x7FFEFFFF：使用者模式分區（~2 GB）。
• 0x7FFF0000 ~ 0x7FFFFFFF：64 KB 禁入區。
• 0x80000000 ~ 0xFFFFFFFF：核心模式分區（2 GB）。

實際掃描結果

使用 VirtualQueryEx 掃描 lpMinimumApplicationAddress 至 lpMaximumApplicationAddress，共取得 249 個記憶體區塊。完整表格包含：基址、配置基址、配置保護、大小、狀態、保護、類型（MEM_IMAGE、MEM_PRIVATE、MEM_MAPPED、MEM_FREE 等）。

後續分析計畫

1. 識別並移除映像檔區塊（主程式、系統 DLL、使用者 DLL）。
2. 識別執行緒堆疊區塊（含守護頁）。
3. 識別堆積區塊。
4. 分析 MEM_MAPPED 區塊來源。
5. 檢視殘留小區塊（環境區塊、NT_TIB 等）。

本文附上完整 249 區塊表格截圖（因篇幅略），後續文章將逐層剖析。