过TP驱动3(清零部分)

 

windbg下 ，断点 ba w1 EProcess+BC，能找到2-4处清零的代码，但是不能直接恢复或者hook代码段，

 

要先干掉CRC，否则会被重启电脑。ba e1 清零代码，能找到1-2处CRC校验。

 

CRC干掉了，清零就可以处理了。