注意：此贴仅限技术交流分享

目前测试环境：win10 1909和win764位都能应用，win7 64位在退出游戏时，会引发蓝屏，需要修复部分数据，但对小白来说，过于麻烦，可以不用CE，直接使用三环的ReadProcessMemory和WriteProcessMemory即可。

1. 上图

    2.过程（我挂了几天不蓝，如各位有蓝屏，请查找蓝屏代码自行修复）

1. 如果你要修改的目标进程是32位的，你就打开32位的NOTEPAD.exe，如果是64位的，你就打开64位的NOTEPAD.exe做为傀儡进程，以实现环境适应。

2. 在内核层，暂停傀儡进程的所有线程，让傀儡进程变成一个纯粹的内存空间，不要在三环创建挂起进程，会蓝。

3. 将目标进程的CR3,VAD挂入傀儡进程的CR3和VAD，进行替换，切记不要替换PEB和wowPEB,会蓝。

4. win7 64位，退出目标进程后，会蓝，需要修改很多细节，可以直接不用CE，直接三环读写API即可。

     当然如果对方以判断CR3和VAD为目的来进行判断，你可以不用notepad.exe，你将CR3的PML4的前100项和VAD挂入system，可以实现读，但写因为win10 64位的eprocess有个systemprocess判断位，无法写，但可以读

win10 1909代码如下：

#include "MyGlobalVar.h"
#define DirectoryTableBase 0x28
#define UserDirectoryTableBase 0x280
#define VadRoot 0x658
#define VadHint 0x660

NTSTATUS PsSuspendProcess(PEPROCESS Process);
NTSTATUS PsResumeProcess(PEPROCESS Process);
PGLOBAL_STRUCT pGLobalStruct;
VOID Unload(PDRIVER_OBJECT pDriverObject)
{
	if (pGLobalStruct->isChange)
	{
		RtlRecoveryEprocess();
		PsResumeProcess(pGLobalStruct->pOwnProcess);
		ExFreePool(pGLobalStruct);
		KdPrint(("end\n"));
	}
}
NTSTATUS DriverEntry(PDRIVER_OBJECT pDriverObject, PUNICODE_STRING pRegPath)
{
	NTSTATUS status = STATUS_SUCCESS;
	pDriverObject->DriverUnload = Unload;
	HANDLE puppetPid = 3492;//傀儡进程PID
	HANDLE gamePid = 3108;//游戏Pid
	pGLobalStruct = ExAllocatePool(NonPagedPool, sizeof(GLOBAL_STRUCT));
	if (!pGLobalStruct) return status;
	PsLookupProcessByProcessId(puppetPid, &pGLobalStruct->pOwnProcess);
	PsLookupProcessByProcessId(gamePid, &pGLobalStruct->pGameProcess);
	PsSuspendProcess(pGLobalStruct->pOwnProcess);

	RtlChangeEprocess();
    return status;
}
//改变EPROCESS
VOID RtlChangeEprocess()
{
	
	pGLobalStruct->OldCr3 = *((PULONG64)((ULONG64)pGLobalStruct->pOwnProcess + DirectoryTableBase));
	pGLobalStruct->OldUserCr3 = *((PULONG64)((ULONG64)pGLobalStruct->pOwnProcess + UserDirectoryTableBase));
	pGLobalStruct->OldVadRoot = *((PULONG64)((ULONG64)pGLobalStruct->pOwnProcess + VadRoot));
	pGLobalStruct->OldVadHint = *((PULONG64)((ULONG64)pGLobalStruct->pOwnProcess + VadHint));
	*((PULONG64)((ULONG64)pGLobalStruct->pOwnProcess + DirectoryTableBase)) = *((PULONG64)((ULONG64)pGLobalStruct->pGameProcess + DirectoryTableBase));
	*((PULONG64)((ULONG64)pGLobalStruct->pOwnProcess + UserDirectoryTableBase)) = *((PULONG64)((ULONG64)pGLobalStruct->pGameProcess + UserDirectoryTableBase));
	*((PULONG64)((ULONG64)pGLobalStruct->pOwnProcess + VadRoot)) = *((PULONG64)((ULONG64)pGLobalStruct->pGameProcess + VadRoot));
	*((PULONG64)((ULONG64)pGLobalStruct->pOwnProcess + VadHint)) = *((PULONG64)((ULONG64)pGLobalStruct->pGameProcess + VadHint));
	pGLobalStruct->isChange = TRUE;

}
VOID RtlRecoveryEprocess()
{
	
	*((PULONG64)((ULONG64)pGLobalStruct->pOwnProcess + DirectoryTableBase)) = pGLobalStruct->OldCr3;
	*((PULONG64)((ULONG64)pGLobalStruct->pOwnProcess + UserDirectoryTableBase)) = pGLobalStruct->OldUserCr3;
	*((PULONG64)((ULONG64)pGLobalStruct->pOwnProcess + VadRoot)) = pGLobalStruct->OldVadRoot;
	*((PULONG64)((ULONG64)pGLobalStruct->pOwnProcess + VadHint)) = pGLobalStruct->OldVadHint;

}

阿里云助力开发者！2核2G 3M带宽不限流量！6.18限时价，开 发者可享99元/年，续费同价！