PEPROCESS oldEprocess = PsGetCurrentProcess();

                                if(Eprocess!=SystemEProcess)
                                {
                                        KSPIN_LOCK WriteMemLock;
                                        KIRQL      OldIrql;

                                        KeInitializeSpinLock(&WriteMemLock);
                                        KeAcquireSpinLock(&WriteMemLock,&OldIrql);

                                        KeAttachProcess(Eprocess);

                                        uRet = (UNICODE_STRING*)((ULONG_PTR)Eprocess + CHKernelHelp::EpGetEprocessOffset(PROCESS_OFFSET_SeAuditProcessCreationInfo));
                                        CHLOG(" %X \r\n",uRet->Buffer);
                                       
                                        KeAttachProcess(oldEprocess);

                                        KeReleaseSpinLock(&WriteMemLock,OldIrql);
                                }

代码如上
外层是循环 KeAttachProcess(oldEprocess); 这句话蓝屏
调用一次没问题 但是多调用几次就蓝了
本人新学请路过大牛指点

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！