扫描进程内存需要注意加锁

      最近在搞扫描进程内存部门，但是偶尔会出现蓝屏的问题，经过分析是进程已退出，但是还是在对这个进程扫描。其中在扫描之前，需要attach到这个进程上去的，但是为什么会出现这样的一个情况呢。首先我查看了wrk，rectos和nt4，也使用windbg分析了进程结束和读取进程内存部分的代码。发现ms在对进程结束之前会去获取一个进程锁，其中在PspExitThread一开始，会发现这个地方一开始就要检测进程是否被attach上了，如果坚持的就立马回调用bugcheck的。为了尽量的避免这样的蓝屏出现，我选在在attch进程之前先获取进程锁，防止进程退出，造成的蓝屏。

       这个进程锁，在2000系统上时PsLockProcess和PsUnlockProcess进行的。至于如果获取这两个函数的地址可以参见

“通过PspTerminateThreadByPointer结束进程”中减少。而在xp以及以上系统ms使用了例外的一种方法是通过eprocess中的rundownprotect这个字段进行加锁的。其中在nt中有到处ExAcquireRundownProtection和ExReleaseRundownProtection这两个函数进行的。好在这两个函数都是在nt中有导出的，那么就简单的多了，可以使用MmGetSystemRoutine得到的。这两个函数的参数是&（eProcess->RundownProtect）的地址。