将其转换为浮点数，通过此方法即可实现字节集到浮点数的转换，而决定是单精度还是双精度则只是一个字节集长度问题，这段读写代码实现原理如下所示；此处只用于演示核心原理，如果想要实现不报错，该代码中的传值操作应在应用层进行，而传入参数也应改为字节类型即可。读写，本章将在如前所述的读写函数进一步封装，并以此来实现驱动读写内存浮点数的目的。浮点数的目的，实现原理是通过读取BYTE类型的前4或者8字节的数据，并

内核枚举进程使用`PspCidTable` 这个未公开的函数，它能最大的好处是能得到进程的EPROCESS地址，由于是未公开的函数，所以我们需要变相的调用这个函数，通过`PsLookupProcessByProcessId`函数查到进程的EPROCESS，如果`PsLookupProcessByProcessId`返回失败，则证明此进程不存在，如果返回成功则把EPROCESS、PID、PPID、进

SSDT 中文名称为系统服务描述符表，该表的作用是将Ring3应用层与Ring0内核层，两者的API函数连接起来，起到承上启下的作用，SSDT并不仅仅只包含一个庞大的地址索引表，它还包含着一些其它有用的信息，诸如地址索引的基址、服务函数个数等，SSDT 通过修改此表的函数地址可以对常用 Windows 函数进行内核级的Hook，从而实现对一些核心的系统动作进行过滤、监控的目的，接下来将演示如何通过

DKOM 即直接内核对象操作，我们所有的操作都会被系统记录在内存中，而驱动进程隐藏就是操作进程的EPROCESS结构与线程的ETHREAD结构、链表，要实现进程的隐藏我们只需要将某个进程中的信息，在系统EPROCESS链表中摘除即可实现进程隐藏。得到句柄以后直接摘除进程的结构即可实现隐藏，该代码只找了Win10系统下的偏移地址，故只能在Win10下使用。结构体中包含了系统中的所有进程相关信息，通过

ObRegisterCallbacks是Windows操作系统提供的一个内核API函数，它允许开发者注册一个回调函数，用于监控对象的创建、打开、关闭和删除等事件。对象可以是文件、目录、进程、线程、注册表键等等。当操作系统创建、打开、关闭或删除一个对象时，它会触发注册的回调函数，然后在回调函数中调用开发者定义的代码。开发者可以在回调函数中执行自定义的逻辑，例如记录日志、过滤敏感数据、或者阻止某些操作

在笔者上一篇文章`《内核RIP劫持实现DLL注入》`介绍了通过劫持RIP指针控制程序执行流实现插入DLL的目的，本章将继续探索全新的注入方式，通过`NtCreateThreadEx`这个内核函数实现注入DLL的目的，需要注意的是该函数在微软系统中未被导出使用时需要首先得到该函数的入口地址，`NtCreateThreadEx`函数最终会调用`ZwCreateThread`，本章在寻找函数的方式上有所

总之，VAD结构是Windows操作系统中管理进程虚拟地址空间的重要数据结构之一，它通过构建一个树形结构来管理进程的虚拟地址空间，并提供了丰富的属性信息，使得操作系统可以对虚拟地址空间进行有效的管理和保护。系统在创建线程时，会为该线程分配一段物理内存页，并映射到该线程的栈空间中，然后将栈空间的起始地址记录在该线程的。EPROCESS 结构体是用于表示操作系统中的一个进程的数据结构，其中包含了许多与

在某些时候我们的系统中会出现一些无法被正常删除的文件，如果想要强制删除则需要在驱动层面对其进行解锁后才可删掉，而所谓的解锁其实就是释放掉文件描述符（句柄表）占用，文件解锁的核心原理是通过调用`ObSetHandleAttributes`函数将特定句柄设置为可关闭状态，然后在调用`ZwClose`将其文件关闭，强制删除则是通过`ObReferenceObjectByHandle`在对象上提供相应的权

在 PsSetCreateThreadNotifyRoutine 函数中注册的回调函数应该符合这个函数指针的定义，以便在新线程被创建或销毁时被调用。和进程ID作为参数传递给回调函数。来删除已注册的回调函数，目前该函数只需要一个参数，只需要传入注册时的函数指针即可；来说，它指向一个回调函数，用于通知进程中新线程的创建。当一个新的线程被创建时，操作系统会调用所有已注册的回调函数，并将新线程的。是一个指

在某些时候我们的系统中会出现一些无法被正常删除的文件，如果想要强制删除则需要在驱动层面对其进行解锁后才可删掉，而所谓的解锁其实就是释放掉文件描述符（句柄表）占用，文件解锁的核心原理是通过调用`ObSetHandleAttributes`函数将特定句柄设置为可关闭状态，然后在调用`ZwClose`将其文件关闭，强制删除则是通过`ObReferenceObjectByHandle`在对象上提供相应的权