# Patch-0xC0000022 SysMain 运行时研究工具

> Patch-0xC0000022 修改运行中的 Windows SysMain 服务，使 NtCreateFile 返回 STATUS_ACCESS_DENIED。该 C++ 程序定位服务进程和远程函数地址，再应用六字节补丁，以研究预取行为的变化。

- 类型：工具
- 目标：应用
- 类别：调试与动态分析
- 关联：基础工具
- 来源复核于：2026-11-06
- 收录于：2026-11-06
- 原始资源：<https://github.com/Harryson3001/Patch-0xC0000022>
- 一手来源：<https://github.com/Harryson3001/Patch-0xC0000022/blob/fdce6b22c293cba15d6cc991018f4bbf285d8f7d/README.md>
- 目录页面：<https://awesomerea.org/zh/resources/patch-0xc0000022/>
- 记录 JSON：<https://awesomerea.org/resources/patch-0xc0000022/record.json>
- 英文版：[English](https://awesomerea.org/resources/patch-0xc0000022/index.md)

## 使用条件与局限

- **前提条件：**需要 Windows 10 或 11 x64、Visual Studio C++ 工具和管理员权限。
- **范围：**文档要求在受控测试环境中使用，并说明重启 Windows 可恢复运行时状态。
- **局限：**恢复或移除补丁仍列在后续计划中。
- **许可：**仓库中没有许可证文件。

## 一手来源

1. <https://github.com/Harryson3001/Patch-0xC0000022/blob/fdce6b22c293cba15d6cc991018f4bbf285d8f7d/README.md>

## 同分区更多条目：原生二进制

- [iMonitor Windows 系统行为分析工具](https://awesomerea.org/zh/resources/imonitor-system-activity-monitor/index.md) · 工具
- [m68kdasm Motorola 68000 反汇编库](https://awesomerea.org/zh/resources/m68kdasm/index.md) · 工具
- [IR Lifting Benchmark 二进制中间表示提升基准工具](https://awesomerea.org/zh/resources/ir-lifting-benchmark/index.md) · 工具
- [Bin-Hunter 二进制静态检查工具](https://awesomerea.org/zh/resources/bin-hunter/index.md) · 工具
- [BinaryInsight 二进制检查工具](https://awesomerea.org/zh/resources/binaryinsight/index.md) · 工具
- [rust-sig-gen Rust crate 的 IDA 签名生成器](https://awesomerea.org/zh/resources/rust-sig-gen/index.md) · 工具

## 关于此条目

说明已依据一手来源复核。
原创说明采用 MIT 许可；外部项目、论文与素材保留各自的权利和许可。