遇到的还没解决问题的记录

1.

一个是Zwcreatefile里面参数FILE_ATTRIBUTE,说一般FILE_ATTRIBUTE_NORMAL,说是一般文件就是这个值，看有些比如遍历文件夹删除文件这就是0了，非文件就填0？MSDN写的Specifies one or more FILE_ATTRIBUTE_XXX flags, which represent the file attributes to set if you create or overwrite a file. The caller usually specifies FILE_ATTRIBUTE_NORMAL, which sets the default attributes. For a list of valid FILE_ATTRIBUTE_XXX flags, see the CreateFile routine in the Microsoft Windows SDK documentation. If no file is created or overwritten, FileAttributes is ignored.

2.

关于x64强杀进程，查找PspTerminateThreadByPointer 的特征码是 01e8，4字节就算匹配了，这个还没测试，有空试一下。

3.

驱动监控通过ssdthook相关函数还未解决hook NtAlpcSendWaitReceivePort不正常，以后看看怎么处理，不行就用回调或者过滤吧

4.

通过拆链表废除MiniFilter失败，再找找资料吧