1.KPCR进程概念

KPCR 介绍

KPCR 是CPU的控制结构

FS段寄存器在R0(FS=0x30)的时候指向KPCR结构

FS 段寄存器在R3(FS=0x3b)的时候指向 当前线程的TEB（线程）

线程结构是运行在CPU上面，所以线程结构是放在CPU上的

kd> dt _KPCR
ntdll!_KPCR
   +0x000 NtTib            : _NT_TIB
   +0x000 Used_ExceptionList : Ptr32 _EXCEPTION_REGISTRATION_RECORD//异常链表
   +0x004 Used_StackBase   : Ptr32 Void
   +0x008 Spare2           : Ptr32 Void
   +0x00c TssCopy          : Ptr32 Void
   +0x010 ContextSwitches  : Uint4B
   +0x014 SetMemberCopy    : Uint4B
   +0x018 Used_Self        : Ptr32 Void
   +0x01c SelfPcr          : Ptr32 _KPCR//指向自己
   +0x020 Prcb             : Ptr32 _KPRCB//指向0x120的PrcbData
   +0x024 Irql             : UChar//IRQP等级
   +0x028 IRR              : Uint4B//中断相关，待派发的中断
   +0x02c IrrActive        : Uint4B//中断控制寄存器，标志有几个中断正在派发中，是个掩码
   +0x030 IDR              : Uint4B//已经派发的中断
   +0x034 KdVersionBlock   : Ptr32 Void//kd的版本块（win7 x32之后用不到）
   +0x038 IDT              : Ptr32 _KIDTENTRY//IDT表
   +0x03c GDT              : Ptr32 _KGDTENTRY//GDT表
   +0x040 TSS              : Ptr32 _KTSS//TSS
   +0x044 MajorVersion     : Uint2B//拓展用的，通常都是1，跟CPU的版本没有关系
   +0x046 MinorVersion     : Uint2B//拓展用的，通常都是1，跟CPU的版本没有关系
   +0x048 SetMember        : Uint4B//多核的时候和线程相关
   +0x04c StallScaleFactor : Uint4B
   +0x050 SpareUnused      : UChar
   +0x051 Number           : UChar//当前的核数，当前跑在第几核（从0开始）
   +0x052 Spare0           : UChar
   +0x053 SecondLevelCacheAssociativity : UChar
   +0x054 VdmAlert         : Uint4B
   +0x058 KernelReserved   : [14] Uint4B
   +0x090 SecondLevelCacheSize : Uint4B
   +0x094 HalReserved      : [16] Uint4B
   +0x0d4 InterruptMode    : Uint4B
   +0x0d8 Spare1           : UChar
   +0x0dc KernelReserved2  : [17] Uint4B
   +0x120 PrcbData         : _KPRCB//拓展快

在KPCR结构中0x1C 偏移的位置有一个SelfPcr这个指针指向自己，所以找KPCR可以这么写 kpcr * pcr = fs:[0x18]

下面四个和中断相关

+0x024 Irql             : UChar//IRQP等级
+0x028 IRR              : Uint4B//中断相关
+0x02c IrrActive        : Uint4B//中断控制寄存器
+0x030 IDR              : Uint4B

可以通过找到KPCR然后偏移0x038和0x03c找到GDT表和IDT表

Win7 x64及向下中PrcbData的偏移是0x140或者180

其中 +0x120 PrcbData: _KPRCB拓展快非常庞大，具体内容使用kd> dt _KPRCB查看，因为篇幅问题就不在这里贴出

再看一下TIB

kd> dt _NT_TIB
ntdll!_NT_TIB
   +0x000 ExceptionList    : Ptr32 _EXCEPTION_REGISTRATION_RECORD
   +0x004 StackBase        : Ptr32 Void//栈
   +0x008 StackLimit       : Ptr32 Void//栈
   +0x00c SubSystemTib     : Ptr32 Void
   +0x010 FiberData        : Ptr32 Void
   +0x010 Version          : Uint4B
   +0x014 ArbitraryUserPointer : Ptr32 Void
   +0x018 Self             : Ptr32 _NT_TIB//指向自身

其中StackBase/StackLimit 这两个值是动态的，当前这个核上跑的线程的栈顶和栈底，也就是记录当前线程的栈

进程

每一个进程都有一个进程结构

进程中会有活动单位线程，但是线程不一定只在一个进程中，线程可以去任何地方，例如内核，其他的进程等，也就是进程是固定的，但是线程不是固定的

进程大小是根据地址宽度(位数宽度)决定的，这个说的是虚拟地址，不是物理地址，物理地址是跟总线相关的，进程多大是跟操作系统相关的，也就是虚拟地址相关的，而不是跟物理地址相关的。例如：物理地址大小只有1G但是理论上任然是可以运行32位的系统，就是为每一个进程分配4G大小的空间

EPROCESS

EPROCESS包含KPROCESS

kd> DT _eprocess
ntdll!_EPROCESS
   +0x000 Pcb              : _KPROCESS//EPROCESS包含KPROCESS
   +0x098 ProcessLock      : _EX_PUSH_LOCK
   +0x0a0 CreateTime       : _LARGE_INTEGER
   +0x0a8 ExitTime         : _LARGE_INTEGER
   +0x0b0 RundownProtect   : _EX_RUNDOWN_REF
   +0x0b4 UniqueProcessId  : Ptr32 Void
   +0x0b8 ActiveProcessLinks : _LIST_ENTRY
   +0x0c0 ProcessQuotaUsage : [2] Uint4B
   +0x0c8 ProcessQuotaPeak : [2] Uint4B
   +0x0d0 CommitCharge     : Uint4B
   +0x0d4 QuotaBlock       : Ptr32 _EPROCESS_QUOTA_BLOCK
   +0x0d8 CpuQuotaBlock    : Ptr32 _PS_CPU_QUOTA_BLOCK
   +0x0dc PeakVirtualSize  : Uint4B
   +0x0e0 VirtualSize      : Uint4B
   +0x0e4 SessionProcessLinks : _LIST_ENTRY
   +0x0ec DebugPort        : Ptr32 Void
   +0x0f0 ExceptionPortData : Ptr32 Void
   +0x0f0 ExceptionPortValue : Uint4B
   +0x0f0 ExceptionPortState : Pos 0, 3 Bits
   +0x0f4 ObjectTable      : Ptr32 _HANDLE_TABLE
   +0x0f8 Token            : _EX_FAST_REF
   +0x0fc WorkingSetPage   : Uint4B
   +0x100 AddressCreationLock : _EX_PUSH_LOCK
   +0x104 RotateInProgress : Ptr32 _ETHREAD
   +0x108 ForkInProgress   : Ptr32 _ETHREAD
   +0x10c HardwareTrigger  : Uint4B
   +0x110 PhysicalVadRoot  : Ptr32 _MM_AVL_TABLE
   +0x114 CloneRoot        : Ptr32 Void
   +0x118 NumberOfPrivatePages : Uint4B
   +0x11c NumberOfLockedPages : Uint4B
   +0x120 Win32Process     : Ptr32 Void
   +0x124 Job              : Ptr32 _EJOB
   +0x128 SectionObject    : Ptr32 Void
   +0x12c SectionBaseAddress : Ptr32 Void
   +0x130 Cookie           : Uint4B
   +0x134 Spare8           : Uint4B
   +0x138 WorkingSetWatch  : Ptr32 _PAGEFAULT_HISTORY
   +0x13c Win32WindowStation : Ptr32 Void
   +0x140 InheritedFromUniqueProcessId : Ptr32 Void
   +0x144 LdtInformation   : Ptr32 Void
   +0x148 VdmObjects       : Ptr32 Void
   +0x14c ConsoleHostProcess : Uint4B
   +0x150 DeviceMap        : Ptr32 Void
   +0x154 EtwDataSource    : Ptr32 Void
   +0x158 FreeTebHint      : Ptr32 Void
   +0x160 PageDirectoryPte : _HARDWARE_PTE_X86
   +0x160 Filler           : Uint8B
   +0x168 Session          : Ptr32 Void
   +0x16c ImageFileName    : [15] UChar
   +0x17b PriorityClass    : UChar
   +0x17c JobLinks         : _LIST_ENTRY
   +0x184 LockedPagesList  : Ptr32 Void
   +0x188 ThreadListHead   : _LIST_ENTRY
   +0x190 SecurityPort     : Ptr32 Void
   +0x194 PaeTop           : Ptr32 Void
   +0x198 ActiveThreads    : Uint4B
   +0x19c ImagePathHash    : Uint4B
   +0x1a0 DefaultHardErrorProcessing : Uint4B
   +0x1a4 LastThreadExitStatus : Int4B
   +0x1a8 Peb              : Ptr32 _PEB
   +0x1ac PrefetchTrace    : _EX_FAST_REF
   +0x1b0 ReadOperationCount : _LARGE_INTEGER
   +0x1b8 WriteOperationCount : _LARGE_INTEGER
   +0x1c0 OtherOperationCount : _LARGE_INTEGER
   +0x1c8 ReadTransferCount : _LARGE_INTEGER
   +0x1d0 WriteTransferCount : _LARGE_INTEGER
   +0x1d8 OtherTransferCount : _LARGE_INTEGER
   +0x1e0 CommitChargeLimit : Uint4B
   +0x1e4 CommitChargePeak : Uint4B
   +0x1e8 AweInfo          : Ptr32 Void
   +0x1ec SeAuditProcessCreationInfo : _SE_AUDIT_PROCESS_CREATION_INFO
   +0x1f0 Vm               : _MMSUPPORT
   +0x25c MmProcessLinks   : _LIST_ENTRY
   +0x264 HighestUserAddress : Ptr32 Void
   +0x268 ModifiedPageCount : Uint4B
   +0x26c Flags2           : Uint4B
   +0x26c JobNotReallyActive : Pos 0, 1 Bit
   +0x26c AccountingFolded : Pos 1, 1 Bit
   +0x26c NewProcessReported : Pos 2, 1 Bit
   +0x26c ExitProcessReported : Pos 3, 1 Bit
   +0x26c ReportCommitChanges : Pos 4, 1 Bit
   +0x26c LastReportMemory : Pos 5, 1 Bit
   +0x26c ReportPhysicalPageChanges : Pos 6, 1 Bit
   +0x26c HandleTableRundown : Pos 7, 1 Bit
   +0x26c NeedsHandleRundown : Pos 8, 1 Bit
   +0x26c RefTraceEnabled  : Pos 9, 1 Bit
   +0x26c NumaAware        : Pos 10, 1 Bit
   +0x26c ProtectedProcess : Pos 11, 1 Bit
   +0x26c DefaultPagePriority : Pos 12, 3 Bits
   +0x26c PrimaryTokenFrozen : Pos 15, 1 Bit
   +0x26c ProcessVerifierTarget : Pos 16, 1 Bit
   +0x26c StackRandomizationDisabled : Pos 17, 1 Bit
   +0x26c AffinityPermanent : Pos 18, 1 Bit
   +0x26c AffinityUpdateEnable : Pos 19, 1 Bit
   +0x26c PropagateNode    : Pos 20, 1 Bit
   +0x26c ExplicitAffinity : Pos 21, 1 Bit
   +0x26c Spare1           : Pos 22, 1 Bit
   +0x26c ForceRelocateImages : Pos 23, 1 Bit
   +0x26c DisallowStrippedImages : Pos 24, 1 Bit
   +0x26c LowVaAccessible  : Pos 25, 1 Bit
   +0x26c RestrictIndirectBranchPrediction : Pos 26, 1 Bit
   +0x26c AddressPolicyFrozen : Pos 27, 1 Bit
   +0x270 Flags            : Uint4B
   +0x270 CreateReported   : Pos 0, 1 Bit
   +0x270 NoDebugInherit   : Pos 1, 1 Bit
   +0x270 ProcessExiting   : Pos 2, 1 Bit
   +0x270 ProcessDelete    : Pos 3, 1 Bit
   +0x270 Wow64SplitPages  : Pos 4, 1 Bit
   +0x270 VmDeleted        : Pos 5, 1 Bit
   +0x270 OutswapEnabled   : Pos 6, 1 Bit
   +0x270 Outswapped       : Pos 7, 1 Bit
   +0x270 ForkFailed       : Pos 8, 1 Bit
   +0x270 Wow64VaSpace4Gb  : Pos 9, 1 Bit
   +0x270 AddressSpaceInitialized : Pos 10, 2 Bits
   +0x270 SetTimerResolution : Pos 12, 1 Bit
   +0x270 BreakOnTermination : Pos 13, 1 Bit
   +0x270 DeprioritizeViews : Pos 14, 1 Bit
   +0x270 WriteWatch       : Pos 15, 1 Bit
   +0x270 ProcessInSession : Pos 16, 1 Bit
   +0x270 OverrideAddressSpace : Pos 17, 1 Bit
   +0x270 HasAddressSpace  : Pos 18, 1 Bit
   +0x270 LaunchPrefetched : Pos 19, 1 Bit
   +0x270 InjectInpageErrors : Pos 20, 1 Bit
   +0x270 VmTopDown        : Pos 21, 1 Bit
   +0x270 ImageNotifyDone  : Pos 22, 1 Bit
   +0x270 PdeUpdateNeeded  : Pos 23, 1 Bit
   +0x270 VdmAllowed       : Pos 24, 1 Bit
   +0x270 CrossSessionCreate : Pos 25, 1 Bit
   +0x270 ProcessInserted  : Pos 26, 1 Bit
   +0x270 DefaultIoPriority : Pos 27, 3 Bits
   +0x270 ProcessSelfDelete : Pos 30, 1 Bit
   +0x270 SetTimerResolutionLink : Pos 31, 1 Bit
   +0x274 ExitStatus       : Int4B
   +0x278 VadRoot          : _MM_AVL_TABLE
   +0x298 AlpcContext      : _ALPC_PROCESS_CONTEXT
   +0x2a8 TimerResolutionLink : _LIST_ENTRY
   +0x2b0 RequestedTimerResolution : Uint4B
   +0x2b4 ActiveThreadsHighWatermark : Uint4B
   +0x2b8 SmallestTimerResolution : Uint4B
   +0x2bc TimerResolutionStackRecord : Ptr32 _PO_DIAG_STACK_RECORD
   +0x2c0 SequenceNumber   : Uint8B
   +0x2c8 CreateInterruptTime : Uint8B
   +0x2d0 CreateUnbiasedInterruptTime : Uint8B
   +0x2d8 SecurityDomain   : Uint8B

Linux是宏内核，R0和R3本质上共用同一个结构体

Windows 属于不完全的微内核结构，微内核分为内核结构和执行体结构，其中内核结构只在内核中使用，而执行体结构是专门执行与R3相关的内容

所以，EPROCESS 是执行体结构，KPROCESS是内核结构

KPROCESS只跟内核打交道，也就是内存，线程，进程调度，设备之类

例如R3想要查询当前进程的ID，但是内核中没有这个概念，内核中所有进程都是一个提供统一调度的内核结构体，只有R3中的EPROCESS有这个概念，但是操作还是要执行的，所以通过让EPROCESS包含KPROCESS提供一个同时满足多种需求的结构体

所以KPROCESS可以几乎一成不变，如果有新添加的功能可以直接在EPROCESS上新增

所以函数以Ex开头的大多是比较顶层的执行体相关的函数，而Ke开头的是比较底层的内核层相关的函数，Ki开头的是提供给操作系统自己用的函数，这种函数通常是不导出的

总结

• Ex 执行体函数进程线程链表对象属性赋值，取值，加锁相关
• Ke 内核函数大部分是导出
• Ki 微内核函数不导出内部自己使用进程线程CPU调度相关
• Ps 执行体函数，进程线程相关Mm内存相关函数一般导出
• Mm 内存相关函数Mm函数底层就是调用Mi不导出
• Io 文件设备相关，导出
• CC 文件缓存
• Rtl 导出函数，一般是运行库字符串 执行体
• Zw SSDT 本身Zw函数不实现功能,但是Zw不需要修改线程的先前模式
• Nt 函数就是zw函数会调用到NT
• CM 注册表
• hal 这个是硬件函数
• Ob 对象管理器 （句柄，查询内核对象，创建内核对象）
• Pnp 电源管理
• Psp 执行体函数，Ps函数实现复杂功能的时候都是调用Psp

KPROCESS

kd> DT _KPROCESS
ntdll!_KPROCESS
   +0x000 Header           : _DISPATCHER_HEADER//所有内核对象（进程线程互斥体信号量各种对象等）
   +0x010 ProfileListHead  : _LIST_ENTRY//性能分析
   +0x018 DirectoryTableBase : Uint4B//每一个进程的CR3
   +0x01c LdtDescriptor    : _KGDTENTRY
   +0x024 Int21Descriptor  : _KIDTENTRY
   +0x02c ThreadListHead   : _LIST_ENTRY//当前的进程有多少个线程
   +0x034 ProcessLock      : Uint4B
   +0x038 Affinity         : _KAFFINITY_EX
   +0x044 ReadyListHead    : _LIST_ENTRY
   +0x04c SwapListEntry    : _SINGLE_LIST_ENTRY
   +0x050 ActiveProcessors : _KAFFINITY_EX
   +0x05c AutoAlignment    : Pos 0, 1 Bit
   +0x05c DisableBoost     : Pos 1, 1 Bit
   +0x05c DisableQuantum   : Pos 2, 1 Bit
   +0x05c ActiveGroupsMask : Pos 3, 1 Bit
   +0x05c ReservedFlags    : Pos 4, 28 Bits
   +0x05c ProcessFlags     : Int4B
   +0x060 BasePriority     : Char
   +0x061 QuantumReset     : Char
   +0x062 Visited          : UChar
   +0x063 Unused3          : UChar
   +0x064 ThreadSeed       : [1] Uint4B
   +0x068 IdealNode        : [1] Uint2B
   +0x06a IdealGlobalNode  : Uint2B
   +0x06c Flags            : _KEXECUTE_OPTIONS
   +0x06d AddressPolicy    : UChar
   +0x06e IopmOffset       : Uint2B
   +0x070 Unused4          : Uint4B
   +0x074 StackCount       : _KSTACK_COUNT
   +0x078 ProcessListEntry : _LIST_ENTRY
   +0x080 CycleTime        : Uint8B
   +0x088 KernelTime       : Uint4B
   +0x08c UserTime         : Uint4B
   +0x090 VdmTrapcHandler  : Ptr32 Void

没讲完，做个实验

让一个普通进程在被结束的时候有像系统进程一样的效果

本质上修改结构，这里我们用驱动加载器做实验

process 0 0获取这个进程的信息

然后dt _eprocess 86f20ac8 一下

kd> dt _EPROCESS 86f20ac8  
ntdll!_EPROCESS
   +0x000 Pcb              : _KPROCESS
   +0x098 ProcessLock      : _EX_PUSH_LOCK
   +0x0a0 CreateTime       : _LARGE_INTEGER 0x01d93353`dfbac96e
   +0x0a8 ExitTime         : _LARGE_INTEGER 0x0
   +0x0b0 RundownProtect   : _EX_RUNDOWN_REF
   +0x0b4 UniqueProcessId  : 0x00000e2c Void
   +0x0b8 ActiveProcessLinks : _LIST_ENTRY [ 0x8414fd90 - 0x86f4ca68 ]
   +0x0c0 ProcessQuotaUsage : [2] 0xca8
   +0x0c8 ProcessQuotaPeak : [2] 0xca8
   +0x0d0 CommitCharge     : 0xec
   +0x0d4 QuotaBlock       : 0x889acd80 _EPROCESS_QUOTA_BLOCK
   +0x0d8 CpuQuotaBlock    : (null) 
   +0x0dc PeakVirtualSize  : 0x341e000
   +0x0e0 VirtualSize      : 0x341e000
   +0x0e4 SessionProcessLinks : _LIST_ENTRY [ 0x96472010 - 0x88c38114 ]
   +0x0ec DebugPort        : (null) 
   +0x0f0 ExceptionPortData : 0x8a207570 Void
   +0x0f0 ExceptionPortValue : 0x8a207570
   +0x0f0 ExceptionPortState : 0y000
   +0x0f4 ObjectTable      : 0xb2b24970 _HANDLE_TABLE
   +0x0f8 Token            : _EX_FAST_REF
   +0x0fc WorkingSetPage   : 0x20609
   +0x100 AddressCreationLock : _EX_PUSH_LOCK
   +0x104 RotateInProgress : (null) 
   +0x108 ForkInProgress   : (null) 
   +0x10c HardwareTrigger  : 0
   +0x110 PhysicalVadRoot  : (null) 
   +0x114 CloneRoot        : (null) 
   +0x118 NumberOfPrivatePages : 0xc0
   +0x11c NumberOfLockedPages : 0
   +0x120 Win32Process     : 0xfe8a9be0 Void
   +0x124 Job              : (null) 
   +0x128 SectionObject    : 0xaa2e7c10 Void
   +0x12c SectionBaseAddress : 0x00400000 Void
   +0x130 Cookie           : 0x48eac92b
   +0x134 Spare8           : 0
   +0x138 WorkingSetWatch  : (null) 
   +0x13c Win32WindowStation : 0x0000002c Void
   +0x140 InheritedFromUniqueProcessId : 0x0000057c Void
   +0x144 LdtInformation   : (null) 
   +0x148 VdmObjects       : (null) 
   +0x14c ConsoleHostProcess : 0
   +0x150 DeviceMap        : 0x8f748470 Void
   +0x154 EtwDataSource    : (null) 
   +0x158 FreeTebHint      : 0x7ffdf000 Void
   +0x160 PageDirectoryPte : _HARDWARE_PTE_X86
   +0x160 Filler           : 0
   +0x168 Session          : 0x96472000 Void
   +0x16c ImageFileName    : [15]  "q???"
   +0x17b PriorityClass    : 0x2 ''
   +0x17c JobLinks         : _LIST_ENTRY [ 0x0 - 0x0 ]
   +0x184 LockedPagesList  : (null) 
   +0x188 ThreadListHead   : _LIST_ENTRY [ 0x86cdc908 - 0x86cdc908 ]
   +0x190 SecurityPort     : (null) 
   +0x194 PaeTop           : 0x87da71e0 Void
   +0x198 ActiveThreads    : 1
   +0x19c ImagePathHash    : 0xfff0af2
   +0x1a0 DefaultHardErrorProcessing : 1
   +0x1a4 LastThreadExitStatus : 0n0
   +0x1a8 Peb              : 0x7ffdc000 _PEB
   +0x1ac PrefetchTrace    : _EX_FAST_REF
   +0x1b0 ReadOperationCount : _LARGE_INTEGER 0x0
   +0x1b8 WriteOperationCount : _LARGE_INTEGER 0x0
   +0x1c0 OtherOperationCount : _LARGE_INTEGER 0x4b
   +0x1c8 ReadTransferCount : _LARGE_INTEGER 0x0
   +0x1d0 WriteTransferCount : _LARGE_INTEGER 0x0
   +0x1d8 OtherTransferCount : _LARGE_INTEGER 0xac
   +0x1e0 CommitChargeLimit : 0
   +0x1e4 CommitChargePeak : 0xec
   +0x1e8 AweInfo          : (null) 
   +0x1ec SeAuditProcessCreationInfo : _SE_AUDIT_PROCESS_CREATION_INFO
   +0x1f0 Vm               : _MMSUPPORT
   +0x25c MmProcessLinks   : _LIST_ENTRY [ 0x84156290 - 0x86f4cc0c ]
   +0x264 HighestUserAddress : 0x7fff0000 Void
   +0x268 ModifiedPageCount : 2
   +0x26c Flags2           : 0x202d000
   +0x26c JobNotReallyActive : 0y0
   +0x26c AccountingFolded : 0y0
   +0x26c NewProcessReported : 0y0
   +0x26c ExitProcessReported : 0y0
   +0x26c ReportCommitChanges : 0y0
   +0x26c LastReportMemory : 0y0
   +0x26c ReportPhysicalPageChanges : 0y0
   +0x26c HandleTableRundown : 0y0
   +0x26c NeedsHandleRundown : 0y0
   +0x26c RefTraceEnabled  : 0y0
   +0x26c NumaAware        : 0y0
   +0x26c ProtectedProcess : 0y0
   +0x26c DefaultPagePriority : 0y101
   +0x26c PrimaryTokenFrozen : 0y1
   +0x26c ProcessVerifierTarget : 0y0
   +0x26c StackRandomizationDisabled : 0y1
   +0x26c AffinityPermanent : 0y0
   +0x26c AffinityUpdateEnable : 0y0
   +0x26c PropagateNode    : 0y0
   +0x26c ExplicitAffinity : 0y0
   +0x26c Spare1           : 0y0
   +0x26c ForceRelocateImages : 0y0
   +0x26c DisallowStrippedImages : 0y0
   +0x26c LowVaAccessible  : 0y1
   +0x26c RestrictIndirectBranchPrediction : 0y0
   +0x26c AddressPolicyFrozen : 0y0
   +0x270 Flags            : 0x144d0801
   +0x270 CreateReported   : 0y1
   +0x270 NoDebugInherit   : 0y0
   +0x270 ProcessExiting   : 0y0
   +0x270 ProcessDelete    : 0y0
   +0x270 Wow64SplitPages  : 0y0
   +0x270 VmDeleted        : 0y0
   +0x270 OutswapEnabled   : 0y0
   +0x270 Outswapped       : 0y0
   +0x270 ForkFailed       : 0y0
   +0x270 Wow64VaSpace4Gb  : 0y0
   +0x270 AddressSpaceInitialized : 0y10
   +0x270 SetTimerResolution : 0y0
   +0x270 BreakOnTermination : 0y0
   +0x270 DeprioritizeViews : 0y0
   +0x270 WriteWatch       : 0y0
   +0x270 ProcessInSession : 0y1
   +0x270 OverrideAddressSpace : 0y0
   +0x270 HasAddressSpace  : 0y1
   +0x270 LaunchPrefetched : 0y1
   +0x270 InjectInpageErrors : 0y0
   +0x270 VmTopDown        : 0y0
   +0x270 ImageNotifyDone  : 0y1
   +0x270 PdeUpdateNeeded  : 0y0
   +0x270 VdmAllowed       : 0y0
   +0x270 CrossSessionCreate : 0y0
   +0x270 ProcessInserted  : 0y1
   +0x270 DefaultIoPriority : 0y010
   +0x270 ProcessSelfDelete : 0y0
   +0x270 SetTimerResolutionLink : 0y0
   +0x274 ExitStatus       : 0n259
   +0x278 VadRoot          : _MM_AVL_TABLE
   +0x298 AlpcContext      : _ALPC_PROCESS_CONTEXT
   +0x2a8 TimerResolutionLink : _LIST_ENTRY [ 0x0 - 0x0 ]
   +0x2b0 RequestedTimerResolution : 0
   +0x2b4 ActiveThreadsHighWatermark : 1
   +0x2b8 SmallestTimerResolution : 0
   +0x2bc TimerResolutionStackRecord : (null) 
   +0x2c0 SequenceNumber   : 0x69
   +0x2c8 CreateInterruptTime : 0x00000012`8b2b30f6
   +0x2d0 CreateUnbiasedInterruptTime : 0x00000012`8b2b30f6
   +0x2d8 SecurityDomain   : 0x00000001`0000000a

在0x270的偏移的位置有一个+0x270 BreakOnTermination : 0y0也就是在这个进程退出的时候让他中断下来

我们的目标是改这个标志位让他变成1

我们先将从0x270偏移开始的FLAG往下的内容复制出来

 +0x270 Flags            : 0x144d0801
   +0x270 CreateReported   : 0y1
   +0x270 NoDebugInherit   : 0y0
   +0x270 ProcessExiting   : 0y0
   +0x270 ProcessDelete    : 0y0
   +0x270 Wow64SplitPages  : 0y0
   +0x270 VmDeleted        : 0y0
   +0x270 OutswapEnabled   : 0y0
   +0x270 Outswapped       : 0y0
   +0x270 ForkFailed       : 0y0
   +0x270 Wow64VaSpace4Gb  : 0y0
   +0x270 AddressSpaceInitialized : 0y10 //算2个
   +0x270 SetTimerResolution : 0y0
   +0x270 BreakOnTermination : 0y0
   +0x270 DeprioritizeViews : 0y0

我们从FLags开始向下先数4个

+0x270 CreateReported   : 0y1
+0x270 NoDebugInherit   : 0y0
+0x270 ProcessExiting   : 0y0
+0x270 ProcessDelete    : 0y0

这个是1个0（4位*4=16）

再向下4个

+0x270 Wow64SplitPages  : 0y0
+0x270 VmDeleted        : 0y0
+0x270 OutswapEnabled   : 0y0
+0x270 Outswapped       : 0y0

第二个0

再向下4个

+0x270 ForkFailed       : 0y0
+0x270 Wow64VaSpace4Gb  : 0y0
+0x270 AddressSpaceInitialized : 0y10 //算2个

本该向下数4个，但是因为这个AddressSpaceInitialized后面是0y10代表了2个，所以这次数3个就可以

这个就是第3个0

再向下2个就到了我们需要的BreakOnTermination标志位这里

+0x270 SetTimerResolution : 0y0
+0x270 BreakOnTermination : 0y0

由于我们的flags就代表了他向下的所有数据，所以我们是通过更改flags的值来改变对应的标志位的

所以我们要改的位置是3个0+2，也就是2000

所以我们要将flags从0x144d0801改成0x144d2801

我们通过ed 86f20ac8+270 0x144d2801 指令将86f20ac8+270位置的标志位flags改成0x144d2801

可以看一下下面这个对比图

最终效果

然后尝试一下关闭

发现直接出现了断点

bi继续就行

不过这种保护存在弊端，自己也没法创建新的线程了