说明：

1.此工具是本人学习Windows内核的一个产物，界面层采用VC编写，驱动层采用WDK7600编译。

2.此工具90%以上的功能都是在内核驱动中实现，Ring3层程序只做展示结果之用。虽然本人已经在诸多环境中做过严格的测试，但也可能存在一定的不稳定性。

3.此工具目前支持win2000、xp、win2003、vista、win2008、win7、win8（32位）等绝大多数Windows操作系统。程序界面支持简体中文和英文两种语言，会随着操作系统语言的不同而自适应。

4.如果本程序或系统奔溃，请将相应的dump发送给我，以帮我改进本工具。另外，如果您有好的意见或者建议也可通过邮件发送给我（zhenfei.mzf@gmail.com）。

5.如果您对Window操作系统不甚了解，请谨慎使用本工具，胡乱操作可能会对您的操作系统造成不可逆的严重后果。                

6.在您使用本工具的过程中，对您造成的直接或者间接的损失，本人概不负责。
								
															mzf	
															2013-01-16于杭州


致谢：
	感谢 freesoft00，暗夜死灵，linexp，天月来了，Hmily，shucaiAiz，风夜蓝，流星，镜海蓝星，dl123100 等朋友的反馈和建议。
	特别感谢 hxj 童鞋为本工具设计的图标。
	(ps.以上排名不分先后，如有遗漏，还请见谅。)


作者联系方式：
	QQ：454858525
	邮箱：zhenfei.mzf@gmail.com
	微博：http://weibo.com/minzhenfei


本工具目前实现功能如下（包括但不限于）：
	1.查看进程线程、模块、窗口、内存、热键、定时器、权限等信息；
	2.查看进程运行时间、命令行、当前目录、PEB等信息；
	3.关闭进程、关闭线程、卸载模块、拷贝进程内存，查找进程模块；
	4.创建进程调试DUMP；
	5.往进程中注入模块；
	6.扫描进程Ring3钩子；
	7.内核驱动模块的查看，内核驱动模块的内存拷贝，卸载驱动内核模块；
	8.常见内核钩子的查看和恢复，包括SSDT、Shadow SSDT、FSD、键盘、鼠标、TCPIP、Classpnp、Atapi、Acpi、IDT、Object hook、内核入口等；
	9.内核模块的iat、eat、inline hook、patches检测和恢复；
	10.用户层消息钩子的查看和卸载；
	11.CreateProcess、CreateThread、LoadImage、Registry、Shutdown等Notify Routine信息查看和删除；
	12.DPC和IO定时器等内核定时器的查看和删除；
	13.系统线程的查看和结束；
	14.WorkerThread信息查看；
	15.内核调试寄存器的查看和恢复；
	16.磁盘、卷、键盘、网络层等过滤驱动的枚举；
	17.内核对象劫持检测；
	18.直接IO进程的检测和恢复；
	19.消息钩子的枚举和恢复；
	20.注册表编辑器，解析原始hive；
	21.文件管理器；
	22.系统服务的枚举和操作；
	23.系统常见启动项的枚举和删除；
	24.查看应用程序的联网情况，包括端口、远程地址等信息；
	25.对hosts文件的查看、编辑和重置为默认；
	26.查看和修复系统LSP信息；
	27.系统用户、隐藏用户的枚举和删除
	28.禁止创建进程、禁止创建线程、禁止加载驱动等反病毒选项
	29.解锁注册表、任务管理器、命令解释器等
	30.修复安全模式
	31.以16进制形式查看和编辑系统内存和进程内存
	32.反汇编系统内存和进程内存
	33.MBR病毒的检测和修复
	34.常用文件关联项的枚举和修复
	35.映像劫持的检测和修复
	36.IME输入法的枚举和管理
	37.反间谍记录器，包括反截屏记录器等


默认颜色：
    进程：
	隐藏进程 - 红色
	文件厂商是微软进程 - 黑色
	文件厂商不是微软进程 - 蓝色
	微软进程带有非微软模块 - 橘黄色

    文件：
	系统文件（文件夹） - 红色
	隐藏文件（文件夹） - 灰色
	普通文件（文件夹）- 黑色

    其他：
	未签名的模块 - 紫色
	可疑对象、挂钩函数等 - 红色
	文件厂商是微软的模块 - 黑色
	文件厂商不是微软的模块 - 蓝色


默认快捷键：
	Ctrl + Alt + Shift + A - 显示软件主界面
	Ctrl + Alt + Shift + M - 显示进程模块信息
	Ctrl + Alt + Shift + H - 显示进程句柄信息
	Ctrl + Alt + Shift + T - 显示进程线程信息
	Ctrl + Alt + Shift + E - 显示进程内存信息
	Ctrl + Alt + Shift + W - 显示进程窗体信息
	Ctrl + Alt + Shift + P - 显示进程权限信息
	Ctrl + Alt + Shift + O - 显示进程热键信息
	Ctrl + Alt + Shift + I - 显示进程定时器信息


更新日志：
2.0版本（2013-07-31）
		新增：
		1.通过查找窗口，定位相应的进程和线程（感谢Hmily建议）
		
		修改：
		1.修复若干bug

1.9版本（2013-07-13）
		新增：
		1.新增常用文件关联项的枚举和修复
		2.新增映像劫持的枚举和管理
		3.新增IME输入法的枚举和管理
		4.高级工具集中增加防截屏的功能，包括防止Print Screen按键截屏
		5.Hosts文件增加重置为默认的功能
		
		修改：
		1.修正在XP下检测MBR有可能误报的问题(感谢流星反馈)
		2.修正在开启自保护的情况下引起的一些问题（感谢dl123100和流星反馈）
		3.修复若干bug

1.8版本（2013-06-28）
		新增：
		1.进程列表增加对句柄的搜索（感谢Hmily建议）
		2.增加导入注册表功能
		3.新增注册表解锁器
		4.新增修复LSP功能
		5.新增系统用户的枚举
		6.新增软件自保护，默认关闭，可在配置页面开启
		7.新增高级工具集，包括“禁止”系列、强制重启、解锁、修复安全模式等
		8.MBR病毒的检测和修复

		修改：
		1.修正编辑HOSTS文件，中文显示乱码的问题
		2.进程列表的“显示进程树”等选项在软件关闭时会保存到配置文件中
		3.避免热键冲突，更改了热键默认配置，一般形式为 Ctrl + Alt + Shift + X
		4.修复一处写配置文件时可能引起的程序奔溃（感谢镜海蓝星反馈）
		5.修复若干bug
		6.多处UI细节的改进

1.7版本（2013-06-02）
		新增：
		1.文件管理器新增“在线搜索文件名”功能
		2.文件管理器新增“计算文件哈希值”功能
		3.驱动列表增加启动方式的查看
		4.注册表快速定位支持缩写，例如HKEY_CURRENT_USER可以简写成HKCU
		5.新增对IE右键菜单的管理
		6.新增对IE插件的管理
		7.新增工具标签，目前有16进制编辑器和反汇编器，后期还会慢慢增加其他工具
		8.新增了更多的自启动项目，支持禁用和启用

		修改：
		1.修复在注册表编辑中输入注册表路径后按回车不能转到的问题
		2.修复在破解32位系统4GB内存限制的机器上可能导致的蓝屏bug（感谢风夜蓝反馈）
		3.去掉了原来的命令行标签，感觉用处不大
		4.修复在某些win8系统下显示白板的问题
		5.修复挂起某些进程后无法恢复的问题
		6.优化若干UI显示细节

1.6版本（2013-05-16）
		新增：
		1.增加定位到AntiSpy文件管理器的菜单选项
		2.新增“网络”功能标签
		3.新增程序联网状态的查看
		4.新增对hosts文件的查看和编辑
		5.新增对SPI的查看

		修改：
		1.加深了微软进程内有非微软模块的默认显示颜色
		2.修正在低分辨率显示器下软件界面显示不全的问题
		3.文件快速定位列表增加了几个常用项（感谢freesoft00建议）
		4.精简主标签选项卡，将“消息钩子”移到了“钩子”标签中
		5.修复若干小问题

1.5版本（2013-04-28）
		新增：
		1.新增文件管理标签(非常感谢天月来了和freesoft00的建议)
		2.增加默认显示进程列表和进程树的设置项
		3.当下方显示模块列表时会用深黄色表明微软进程里有非微软模块
		4.驱动项和服务项增加了启动方式的修改
		5.进程列表增加进程启动时间的显示
		6.新增结果展示的颜色自定义

		修改：
		1.修复枚举启动项时lnk文件解析指向路径出错问题
		2.修复消息钩子标签无法导出Excell表格的问题
		3.修复设置标签一按回车就变空白的问题
		4.修复枚举进程定时器可能卡死的bug(以上几个问题感谢shucaiAiz反馈)
		5.修复在某些系统下打开本软件可能白版的bug(感谢Hmily反馈)
		6.服务项默认不显示微软项
		7.消息钩子默认只显示全局钩子
		8.优化若干UI显示细节
		9.修复若干小问题

1.4版本（2013-03-30）
		新增：
		1.软件主窗体大小可以自由拉伸
		2.注册表枚举加入hive解析，加强对隐藏键值的枚举
		3.进程列表下方增加模块列表的展示
		4.增加了配置选项卡和相关的配置文件
		5.鼠标移到进程列表第一列上会有进程详细信息的气泡展示
		6.进程相关的常用信息(模块、线程等)查看增加快捷键操作
		7.服务标签增加“定位到注册表”、“隐藏微软服务”等功能
		8.注册表标签增加“添加到快速定位”功能
		9.注册表增加“搜索”功能
		10.新增内存编辑器功能

		修改：
		1.优化进程列表右键菜单的显示
		2.优化若干UI显示细节

1.3版本（2013-03-18）
		新增：
		1.对REG_BINARG等类型的注册表键值增加编辑操作
		2.增加对注册表键值的重命名功能
		3.启动项列表增加“隐藏微软模块”功能
		4.启动项列表增加“验证所有数字签名”功能
		5.进程模块对话框增加“卸载并删除模块文件”功能
		6.进程列表增加了个简易版的“注入模块”功能

		修改：
		1.增强SSDT HOOK的检测能力(感谢freesoft00的反馈)
		2.修正注册表默认键值的数据修改异常问题
		3.优化注册表标签的打开速度
		4.修正在进程树模式下可能显示进程不完全的bug
		5.修正英文版的几处翻译问题
		6.优化若干UI显示细节

1.2版本（2013-03-06）
		新增：
		1.进程列表增加“显示进程树”功能，进程间继承关系一目了然
		2.在进程树模式下，新增“结束进程树”功能
		3.工具自身增加防止恶意消息钩子注入的功能

		修改：
		1.修复结束进程时可能导致的一处蓝屏（感谢freesoft00的测试和反馈）
		2.修复枚举进程模块显示时的一处bug
		3.各个标签展示速度优化
		4.优化若干UI显示细节

1.1版本 (2013-02-25)
		新增：
		1.新增“扫描进程钩子”功能
		2.新增“查看进程详细信息”功能
		3.新增“创建调试dump”功能
		4.点击ListCtrl控件的列表头时对内容进行排序

		修改：
		1.“在线搜索”功能，中文版默认使用百度，英文版使用Google
		2.修复内核中打开文件可能失败的bug
		3.修复两处蓝屏
		4.修改若干UI细节
		
1.0版本 (2013-01-16)
		1.第一版发布