IDA反编译：
由以上代码可以看出:
1.reg1,reg2的运算中，当输入一正一负时会检测结果是否是一个有效的指向stack0x7f8范围内的指针。
2.只要构造”有效“的指针（最高位为1）就能任意地址读写。
所以可以利用1来测试VM的stack的地址，断当返回一个比0x8000000000300000大的数时，可以认为找到stack地址了，这里保留一个指向栈上第7个字节的指针，用来写栈内数据的高位。
然后要读写任意地址时，只需地址进栈，再写高位字节为0x80,再出栈就得到了一个”有效“的任意地址读写指针。
[培训]Windows内核深度攻防：从Hook技术到Rootkit实战！
