关于在 RING0 中调用 KeAttachProcess

代码如下

==========================================================
NTSYSAPI     VOID NTAPI KeAttachProcess          ( ULONG * );

ULONG systemProcess           = 0;

ULONG targetProcess           = 0;

====

systemProcess = ( ULONG ) PsGetCurrentProcess ();

        targetProcess = systemProcess;

        do
        {
                targetProcess = * ( ULONG * ) ( targetProcess + 0x88 );

                targetProcess -= 0x88;

                if ( ( ULONG * ) ( targetProcess + 0xC4 ) != NULL )
                {
                        if ( _stricmp ( ( char * ) ( targetProcess + 0x174 ), "notepad.exe" ) == 0 )
                        {
                                KdPrint ( ( "\n              ProcessName = notepad.exe\n" ) );

                                //

                                __asm INT 3;

                                KeAttachProcess ( & targetProcess );

                                __asm
                                {
                                        MOV EDI, 0x036A53C4;

                                        MOV WORD PTR [ EDI ], 0x90E9;
                                }

                                KeDetachProcess ();
                        }
                }
        }
        while ( targetProcess != systemProcess );

=============================================

在 KeAttachProcess ( & targetProcess ); 处不断蓝屏IRQL_NOT_LESS_OR_EQUAL

帮帮我吧

谢谢

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！