Vista/Win7驱动程序完整性验证分析PE蓝屏错误
原来MmCheckSystemImage(原系统),将使用sec_image作为allocationattributes叫zwcreatesection创建部分驱动文件,但在系统的参数是由一个未公开的价值取代:0x100000(注意,sec_image 0x1000000,6,0)。
在ZwCreateSection,系统将检查调用线程的最后模式不是KernelMode,它将不再被允许使用未公开的allocationattributes:。
NT!mmcreatesection
NT!只要
NT!kifastcallentry
NT!zwcreatesection内容来自电脑硬件知识网络
NT!mmchecksystemimage
NT!micreatesectionfordriver
所以,分析PE是很危险的。