Catch me if you can

每个程序都有_eprocess，里面有pid和程序名。最重要的是有一个当前系统活动进程链表，通过对此链表的遍历，可以找到下一个进程eprocess节点，所以就可以对系统进程进行遍历了。

API 调用过程以一个demo测试为例，本测试查看OpenProcess 在R3-R0 下的调用。// test.cpp : Defines the entry point for the console application.//#include "stdafx.h"#include <windows.h>#include <stdio.h>int main(int argc, char

r3下的inline Hook 在r0下的实现。过ssdt保护检测。

1.符号的说明2.通信IRP的说明与注册3.demo的实现。4.总结一下自己的错误。