内存驱动开发之路

驱动开发

枚举进程

参考：
https://cloud.tencent.com/developer/article/1397496

未公开函数：
PsGetProcessWow64Process

强制读写内存

方案1（R3）：直接修改别人内存

最基本的也最简单的就是直接通过WriteProcessMemory 和 ReadProcessMemory对没有进行保护的程序的内存进行修改，一些单机游戏辅助什么的可能会有这种简单方式修改其他进程内存。

方案2（R3）: 注入

通过注入的方式想办法进入宿主进程，然后修改他的内存。这里的话姿势就很多了，远程代码注入，APC注入，输入法注入，LSP注入等等。最常用最省事的估计就是输入法注入，最不常用，但是效果最好的我个人感觉是LSP注入，这个之前用过一段时间。甚至直接可以在R3层做网络劫持了。不过LSP坑多，用者慎重。

方案3（R0）:KeStackAttachProcess

在驱动里，直接附加到宿主进程内存，然后进行内存修改，强杀进程的时候也经常用这个姿势Attack进去，然后 进程虚拟地址空间擦除 直接干进程。

void KWriteProcessMemory(IN PEPROCESS Process