muy的专栏

前几天有朋友遇到一个问题来问我。他有一个Windows 7 x64下的minidump文件，经过初步分析，知道系统崩溃最初是因用户态调用了NtDeviceIoControlFile造成的，KeBugCheckEx调用已经位于多重函数调用的深处，问如何找到最初NtDeviceIoControlFile的参数，尤其是头4个参数。经过一番努力，我总算是把问题解决了，其中得到一些领悟，想趁热记录。

现如今Windows x64已经很普遍了。基于内核驱动，监视进程创建，在进程主线程启动之前修改其入口点以便执行一段自己的代码是十分有用的。本文以Windows 7 x64为基础，对这个问题进行了尝试。