cc682
http://netroc682.spaces.live.com/
    丢一个比较难防的读写其他进程内存空间的方法出来，嘿嘿。貌似我还没想到什么好办法可以防住的。
    内存空间不能跨进程访问的原因主要在于不同进程都有自己的页目录和页表。进程切换的很大一块也就是切换掉页目录。
    Windows自己的ReadProcessMemory最终也是通过KeStackAttachProcess附加到目标进程空间执行拷贝的。但是中间的N个内核函数调用现在被很多保护系统Hook掉并保护起来了，所以要通过这层层关卡读到东西还是不那么简单的。Unhook？自己实现内核函数？都很麻烦。
    其实，仅仅是需要拿到目标进程的页目录，然后直接从目标地址拷贝出来而已，完全可以用简单得多的办法来达到这个目的。
    所有的XXAttachProcess函数最终都通过_KiSwapProcess切换进程环境，_KiSwapProcess中会将目标进程的页目录指针放入CR3。这个过程我们可以自己来实现，唯一需要的就是拿到目标进程的EPROCESS而已，而这有无数种方法可以达到。整个过程基本上没有能当作非正常访问的证据以阻止掉的。
    首先来看一下几个内核结构：
    每个进程都有一个内核里面的进程结构_EPROCESS，前面几个字段如下：

typedef struct _EPROCESS {
    KPROCESS Pcb;
    EX_PUSH_LOCK ProcessLock;
……

typedef struct _KPROCESS {
    DISPATCHER_HEADER Header;
    LIST_ENTRY ProfileListHead;
    ULONG_PTR DirectoryTableBase[2];
……

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)