进程替换的一点想法

RING3级：

现在网上很多的进程替换都是说A 建立C进程（僵尸进程），然后把C所有的Section都Free掉，把B文件手动LOAD重定位，并在C进程空间申请合适的位置，完成后恢复C的运行，运行的结果是用了C的壳做了B的事。（这样卡巴是过不了的，对WriteProcessMemory监控，使用Mapping会有CopyOnWrite）

但我在想，如果可以A用B替换，那不是更好吗？由于做了类似实验。读入目标PE的文件头，得到建议的对齐地址和大小，在目标进程不会使用的空间位置申请内存，将Load代码移上此空间(或者写个DLL)，跳到此代码中。代码完成Unmap所有申请的内存，重要申请并读入目标EXE，完成对齐，完成导入导出表，跳到入口。

不过莫明其巧地出错。。。郁闷中