最近在看SSDT恢复的一些资料：

【原创】Anti SSDT Hook：
http://bbs.pediy.com/showthread.php?p=578346
关于SSDT的一点总结 ：
http://bbs.pediy.com/showthread.php?t=100493

大概流程是用ZwCreateFile打开ntoskrnl.exe，ZwCreateSection创建一个Section，然后用ZwMapViewOfSection把这个Section映射到用户空间，从而可以像读写内存一样来读写ntoskrnl.exe。我的问题是：

1.有没有把ntoskrnl.exe的内容全部都拷贝到了内存里面？

2.ZwMapViewOfSection映射得到的基址都是<0x80000000的用户空间的地址，我想把ntoskrnl.exe映射到内核空间，不想让应用程序访问，应该怎么做？我看了下WDK的文档，说是得借助“system worker thread ”，但在System Worker Threads里面又没相关的信息。WDK原文如下：

The view must be mapped only from a system thread. (Otherwise, the view is accessible from the process whose context it is created in.) A driver can make sure that the view is mapped from the system process by using a system worker thread to perform the mapping operation. For more information, see System Worker Threads and Driver Thread Context.

3.ZwMapViewOfSection中的NtCurrentProcess()宏，我看了下它的定义是：
#define NtCurrentProcess() ( (HANDLE)(LONG_PTR) -1 )
WinDBG里面输出的结果是FFFFFFFF，这是咋回事？

求解答

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课