-
原来MmCheckSystemImage（原系统），将使用sec_image作为allocationattributes叫zwcreatesection创建部分驱动文件，但在系统的参数是由一个未公开的价值取代：0x100000（注意，sec_image 0x1000000，6，0）。
在ZwCreateSection，系统将检查调用线程的最后模式不是KernelMode，它将不再被允许使用未公开的allocationattributes：。
NT！mmcreatesection
NT！只要
NT！kifastcallentry
NT！zwcreatesection内容来自电脑硬件知识网络
NT！mmchecksystemimage
NT！micreatesectionfordriver
所以，分析PE是很危险的。