WriteCopy

在自己的进程进程中hookMessagebox 为什么对别的进程没有影响呢：
因为自己进程的meaagebox和其他进程的其实是在一个物理页中的。
这个内存在pte中是只读的。
当运行hook代码时，（这时需要把hook的代码写到messagebox的指定地方，用到了写这个权限，而pte是只读的）会触发异常，cpu就会去检查进程的vad （位于进程结构体的+11c处，是一个二叉树），如果属性是writecopy，就会申请一个新的物理页，把hook的代码给复制过去。
这样我们hook的代码就不在原来的messagebox的地方，别的进程运行时，不会对他有影响。
如果我们想通过这个api监控所有的进程，就需要绕过这个writecopy

WriteCopy是如何触发的

内存的属性有两种：一种是PTE 一种是vad （内核中记录一个应用程序4GB 内存的分配情况，哪些内存被分配了。具体的属性是什么 read write writecopy）. vad 在进程结构体的+11c处，是一个二叉树结构。

 dt _EPROCESS 89f38758   //通过这个指令扎到vadroot的值  然后使用下面的指令
 !vad 0x89f497d0 

start和end是以页为单位的。

当访问内存pte出问题时（比如页属性是只读的，然后我去写这个内存），cpu就会触发异常，去找vad里面的属性，如果是readonly的，返回c005内存访问错误。如果是writecopy，cpu就会分配一个新的物理页，把要写的那块代码复制到新的物理页中。

绕过写拷贝的两种方法

1. 申请一个新的线性地址，新的pte 。和要hook的地方指向同一个物理页
2. 直接修改pte的属性为可读可写，就不会触发异常，也就不会触发写拷贝了。 试试监控代码写进入后可以把PTE属性修改回来吗？

项目：