一、回顾
想要分析透彻,必须得了解之前的那些结构体(_KUSER_SHARED_DATA、_Trap_Frame、_KPCR、 _KTHREAD)
没看的同学先看一下之前的文章逆向分析ReadProcessMemory---->KiFastCallEntry
二、分析KiSystemService
由于上一篇分析KiFastCallEntry文章的难度更大,分析_KiSystemService的难度小一些,所以前面步骤省略,直接开始分析KiSystemService
.text:00466481 _KiSystemService proc near ; CODE XREF: ZwAcceptConnectPort(x,x,x,x,x,x)+Cp
.text:00466481 ; ZwAccessCheck(x,x,x,x,x,x,x,x)+Cp ...
.text:00466481
.text:00466481 var_C4 = dword ptr -0C4h
.text:00466481 var_C0 = dword ptr -0C0h
.text:00466481 var_BC = dword ptr -0BCh
.text:00466481 var_B4 = dword ptr -0B4h
.text:00466481 var_AC = dword ptr -0ACh
.text:00466481 var_A8 = dword ptr -0A8h
.text:00466481 var_A3 = byte ptr -0A3h
.text:00466481 var_A0 = dword ptr -0A0h
.text:00466481 var_9C = dword ptr -9Ch
.text:00466481 var_98 = dword ptr -98h
.text:00466481 var_94 = dword ptr -94h
.text:00466481 var_90 = dword ptr -90h
.text:00466481 var_8C = dword ptr -8<