X86和x64在异常处理上稍有一些不同，先来看x86上的异常处理。

系统捕获到异常后会执行到函数RtlDispatchException，函数RtlDispatchException再调用RtlLookupFunctionEntry，RtlLookupFunctionEntry函数再调用RtlLookupFunctionTable。RtlLookupFunctionTable这个函数的作用是在PsLoadedModuleList链在根据异常的EIP地址找到发生异常的模块。由于Pool里执行的代码不属于任何一个模块，这个函数就会返回失败，异常处理就会失去作用，产生一个蓝屏。

......

但是使用这个函数对驱动有特殊的要求，必须使用特殊的签名才行！否则这个函数会返回0xC0000022(拒绝访问)，逆向此函数可以看到以下是有关是否加签名的判断：

...

BOOLEAN CallZwFunction(CONST CHAR *FunctionName,PVOID pCallRet,ULONG ArgNum,...)
{
 char *vl;
 BOOLEAN retval = FALSE;
 ULONG FunctionIndex;
 ULONG CallRet;
 ULONG Argv[20],temp;
 LONG i;
 ULONG FunctionAddr;
 BYTE Sign[]="\xb8\x44\x00\x00\x00";
 BYTE *p;

...

XP sp3下:

1.NtCreateProcessEx

2.NtCreateThread

3.CreateProcessNotify，调用创建进程回调函数，在PspCreateThread中调用

4.CreateThreadNotify，调用创建线程回调函数，在PspCreateThread中调用

Vista、Win7下:

1.NtCreateUserProcess->PspInsertThread

利用成功后可看到Services.exe以system权限运行了C:\Users\test\Desktop\1.exe。

一开始，像大多数其它溢出那样，执行完shellcode后就sleep等死，可是这里不行，在进入有漏洞的函数前，系统占了一个锁，如果等死了，整个系统也立马卡死。函数调用是像下面这样的：

call func2()
{
    getlocker();
    bugfunc();//存在溢出的函数
...

下面是我在xp下逆向分析出的这个链表的结构：

typedef struct _HOTKEY
{
    PVOID Win32Thread;
    ULONG gptiCurrent;
...

原因如下：

文件过滤驱动申请可分页内存时，系统可能内存不足，使的这块内存从虚拟内存中分配，这就要操作虚拟内存文件PageFile.sys，
这个文件操作再次被文件过滤驱动监控到，并再次申请一块内存，造成重入，驱动栈内存使用光时就蓝了。。。。
 

...

一。在64位系统下，有一项PatchGuard技术，它是微软为了防止自己的代码被Patch，进而影响系统的稳定性引入的，这项技术会检查以下内容有没有被恶意修改过：

1- SSDT (System Service Descriptor Table) 
2- GDT (Global Descriptor Table) 
3- IDT (Interrupt Descriptor Table) 
...