过TP驱动5(双击调试)

windbg下，ret掉KdDisableDebugger。

 

然后TP驱动里面会出现死循环，从KdDisableDebugger开始单步跟，nop掉循环判断，

 

继续单步跟，会发现紧接着一个自写的KdDisableDebugger函数，同样咔嚓掉。