3.逆向分析KiSystemService(填充 _KTRAP_FRAME 部分)

一、回顾

想要分析透彻，必须得了解之前的那些结构体(_KUSER_SHARED_DATA、_Trap_Frame、_KPCR、 _KTHREAD)
没看的同学先看一下之前的文章逆向分析ReadProcessMemory----＞KiFastCallEntry

二、分析KiSystemService

由于上一篇分析KiFastCallEntry文章的难度更大，分析_KiSystemService的难度小一些，所以前面步骤省略，直接开始分析KiSystemService

.text:00466481 _KiSystemService proc near              ; CODE XREF: ZwAcceptConnectPort(x,x,x,x,x,x)+Cp
.text:00466481                                         ; ZwAccessCheck(x,x,x,x,x,x,x,x)+Cp ...
.text:00466481
.text:00466481 var_C4          = dword ptr -0C4h
.text:00466481 var_C0          = dword ptr -0C0h
.text:00466481 var_BC          = dword ptr -0BCh
.text:00466481 var_B4          = dword ptr -0B4h
.text:00466481 var_AC          = dword ptr -0ACh
.text:00466481 var_A8          = dword ptr -0A8h
.text:00466481 var_A3          = byte ptr -0A3h
.text:00466481 var_A0          = dword ptr -0A0h
.text:00466481 var_9C          = dword ptr -9Ch
.text:00466481 var_98          = dword ptr -98h
.text:00466481 var_94          = dword ptr -94h
.text:00466481 var_90          = dword ptr -90h
.text:00466481 var_8C          = dword ptr -8<