ring0下注入DLL

最近有在做一个东西，需要在ring0下拦截进程启动并注入DLL（dll用于hook ring3下的API），很多种实现方法，此处采用sudami大神提供的思路，另一位大侠提供的参考代码。虽然这个东西没什么技术含量，但对于我这种刚入门内核的人还是搞了很久才做出来，蓝屏很多，要注意很多细节.

思路：进程创建完时是一个空水壶，里面没有沸腾的热水（threads），于是系统调用NtCreateThread创建其主线程（给空水壶注水 – 凉水），在这个暂停的线程里面折腾了一阵后完事了也厌倦了，于是系统跳了出来，回到进程空间中，调用Kernel32.dll去通知CSRSS.EXE，对它说：“这里有一个新进程出生了，你在你的表里标记一下”。然后就开始加载DLL啦，把系统KnownDLLs中的自己需要的DLL都Map一份到这个大水壶中。接着KiThreadStartup加热水壶中的凉水，于是水就开始沸腾了，此时主线程开始工作。。。

拦截NtCreateThread，取得当前线程上下文，保存它要返回的地址（会回到空水壶中去），劫持为我们自己分配的地址，在其中填充ShellCode来加载目的DLL。至于选择Buffer，思路很多。这里可简单的Attach到当前进程，在充足的虚拟2GB进程地址空间中分配属于你自己的一块小内存，够放ShellCode足矣。