windows – 如何获取内核模块nt和win32k的地址？

发布时间：2020-12-14 04:10:42 所属栏目：Windows 来源：网络整理

导读：我需要知道加载nt和win32k的基地址.我可以通过在启用内核调试的情况下启动系统来查找此信息,启动内核调试会话,并运行命令lm以获取已加载模块的列表. 我想要做的是以编程方式确定加载这两个模块的位置,而无需启动到调试模式和使用内核调试器.我需要基本地址来

我需要知道加载nt和win32k的基地址.我可以通过在启用内核调试的情况下启动系统来查找此信息,启动内核调试会话,并运行命令lm以获取已加载模块的列表.

我想要做的是以编程方式确定加载这两个模块的位置,而无需启动到调试模式和使用内核调试器.我需要基本地址来解析Windows事件跟踪日志文件中的系统调用.

我正在使用的系统正在运行Windows Server 2008 R2.

加载的内核模块和基址(包括ntoskrnl)的列表存储在PsLoadedModulesList符号指向的列表中.
或者使用ZwQuerySystemInformation(SystemModuleInformation)代替.

有关详细信息,请参阅http://alter.org.ua/docs/nt_kernel/procaddr/

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!