这里我研究的问题只有Patchguard怎么让丫去死，至于DSE这种东西，随便找个过时的有任意代码执行问题的驱动（比如DCR，VBOX，金山某士）去Patch一下CI就可以了。今天我也不是来跟人分享VMX或者patch文件那些无功夫的过PG手法。
　　我今天要做的是继续以前老外的pg的梗（由于我的笔记本跑win8不能10秒开机，所以只能用win7来撸）。
　　老外有几篇关于PG攻击的文章：
　　297K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3#2U0j5h3k6W2k6g2)9J5k6h3y4G2L8g2)9J5c8X3W2F1i4K6u0r3M7X3g2K6L8%4g2J5j5$3g2K6i4K6u0r3M7X3g2H3L8%4u0@1M7#2)9J5c8Y4u0H3i4K6u0V1k6r3g2X3k6h3q4@1K9h3&6Y4i4K6u0V1M7r3q4@1j5$3S2Y4N6h3q4J5k6q4)9J5k6i4m8V1k6R3`.`.
　　955K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4g2F1K9h3&6X3L8%4u0E0k6h3c8Q4x3X3g2G2M7X3N6Q4x3V1k6Q4x3@1k6$3i4K6y4p5x3#2)9J5y4X3q4Q4x3@1b7K6i4K6t1$3N6q4)9K6c8s2y4#2L8i4u0&6
　　ae3K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4g2F1K9h3&6X3L8%4u0E0k6h3c8Q4x3X3g2G2M7X3N6Q4x3V1k6Q4x3@1k6$3i4K6y4p5z5q4)9J5y4X3q4Q4x3@1b7#2i4K6t1$3N6q4)9K6c8s2y4#2L8i4u0&6
　　aecK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4A6W2M7U0m8E0k6h3#2Q4x3X3g2K6K9#2)9J5c8W2)9K6c8Y4m8Q4x3@1b7J5y4K6p5`.
　　
　　不过统统不能解决真正的问题，最后一个连接除外。不过其中的分析让我们知道两件事儿，第一件事儿是PG的蓝屏是通过DPC或者TIMER调用KeBugCheckEx来的。第二件事儿是PG调用KeBugCheckEx的时候，会恢复KeBugCheckEx上的修改。
　　通过读老外的文章我们知道通过DPC来的必须经过KiRetireDpcList这个玩意才能到达蓝屏（而通过TIMER来的经过的函数比较奇怪，这里也不想管他）。
　　老外有一个思路就是hook KeBugCheckEx来处理TIMER的PG引发的0x109蓝屏，但是因为KeBugCheckEx有恢复hook的可能（新的PG是复制了BugCheck的代码），所以我选择了一个KeBugCheckEx内部的调用的函数来进行挂钩，然后通过堆栈读出RCX判断一下错误号，这个调用函数也是老外早就提供好的就是RtlCaptureContext。
　　
　　到这里我都和老外的思路近似，之后后面就不一样了。我只有2个hook点，我不想判断DPC是不是PG的，也不研究线程TIMER的枚举，我直接在KiRetireDpcList这里保存运行环境（CONTEXT），然后继续调用KiRetireDpcList代码，然后保存的恢复运行环境（RIP修好）。
　　如果发生了0x109蓝屏，那么经过我挂钩的RtlCaptureContext时，我主动插入一个DPC到DPC链条去，然后恢复保存的CONTEXT到Call KiRetireDpcList处的去重新执行的话（也就是说，把时光倒流了），这时候PG就无法蓝屏了。但是这里有一个小问题，如果来自线程TIMER的PG蓝屏，则不能开蜘蛛的大招 回到过去 去Pass掉TIMER。不过windows的机制让我知道如果在pg的timer里的时候，IRQL应该是PASSIVE级别的，在PASSIVE级别的话，可以将整个执行流程跳入线程开始去直接运行（这点是老外的资料里发现然后结合windbg调试出来的）。
　　
　　那么我绕过PG的工具设计思路就是：

//有2个hook点！
//RtlCaptureContext-->保存ecx等物-->OrgCap-->ProcPatchGuard-->其他
//											-->ECX==109 ,来自BugCheck-->修复STACK，重新插入空DPC
//																		-->如果IRQL是PASSIVE,则CallPointer去
//																		-->不是PASSIVE,则恢复环境-->到KiRetireDpcList重新执行DPC序列
//KiRetireDpcList -->保存环境-->原始-->还原环境
//

[培训]科锐逆向工程师培训第53期2025年7月8日开班！