qq269813279的博客

PspCidTable存放着一个结构为_HANDLE_TABLE的指针，_HANDLE_TABLE结构记录句柄表的相关信息，句柄表存放着所有进程和线程的对象，其索引就是PID和TID，在WinDbg看一下相关的结构。我们遍历进程对象需要关注两个成员，第一个是TableCode，第二个是NextHandleNeedingPool。TableCode：该成员记录表级和表地址，低2位记录着表的级数，掩掉...

NTSTATUS ReadProcessMemory(HANDLE pid,LONG_PTR buff,LONG_PTR address,SIZE_T len){ PEPROCESS pEPROCESS; NTSTATUS status; ULONG64 OldCr3; ULONG64 NewCr3; status = PsLookupProcessByProcessId(pid, &pE...