Trong hệ thống máy tính hiện đại, dữ liệu và lệnh mà CPU xử lý tạm thời sẽ được lưu trong RAM. Tuy nhiên, khi RAM bị thiếu, virtual memory (bộ nhớ ảo) sẽ được sử dụng. Đây là cơ chế quản lý bộ nhớ giúp Windows tạm thời chuyển dữ liệu từ RAM xuống đĩa cứng (paging file) để bù đắp cho tình trạng thiếu RAM.
Mỗi tiến trình (process) trong Windows sẽ được cấp phát một vùng virtual address space riêng biệt. Không có tiến trình nào được phép truy cập trực tiếp vào vùng nhớ của tiến trình khác, trừ khi được cấp quyền. Điều này đảm bảo tính cách ly và bảo mật giữa các ứng dụng.
Các process và ứng dụng trong Windows muốn truy cập đến tài nguyên hệ thống (kernel object) như TCP port, socket... thì phải thông qua process handle. Handle chính là "cánh cửa" để process truy cập tài nguyên. Khi một tiến trình có PROCESS_VM_READ hoặc PROCESS_VM_WRITE và kèm theo đặc quyền SeDebugPrivilege, nó có thể:
Đây là kỹ thuật mà malware thường lợi dụng để tiêm mã độc vào process hợp lệ (ví dụ: explorer.exe, svchost.exe) nhằm chiếm quyền hệ thống.
Hệ điều hành Windows sử dụng page table để ánh xạ địa chỉ ảo (virtual address) sang địa chỉ vật lý (physical address). Mỗi lần một thread truy cập địa chỉ, hệ thống sẽ dịch sang vị trí thật trong RAM.
