方法不是原创，先声明，免得被骂，代码是自己写的
        参考资料是：http://hi.baidu.com/robin_dev/blog/item/5a593fca5449ec18be09e6cf.html
          在这里郑重感谢！！！这个帖子给了个方法，无码，不过有这个了实现倒是不难，我自己写了一个，看到看雪论坛上也没这个方法的代码，所以在这分享出来，写得很烂，希望各位指正，喷我也没关系。
       我封装成了一个类（个人的习惯啊），比较简单，感谢教主等人的帮助。
       类声明：

//file:SDTShadowRestore.h

#ifndef SDTSHADOWRESTORE_H

#define SDTSHADOWRESTORE_H

#include <windows.h>
#include <Tchar.h>

typedef struct _SYSTEM_SERVICE_TABLE 
{ 
   PVOID   ServiceTableBase; 
   PULONG   ServiceCounterTableBase; 
   ULONG   NumberOfService; 
   ULONG   ParamTableBase; 
}SYSTEM_SERVICE_TABLE,*PSYSTEM_SERVICE_TABLE;

typedef struct _SERVICE_DESCRIPTOR_TABLE
{
	PVOID KiServiceTabe;
	PVOID W32pServiceTable;
	PVOID Reserved_1;
	PVOID Reserved_2;
}SERVICE_DESCRIPTOR_TABLE,*PSERVICE_DESCRIPTOR_TABLE;


class SDTShadowRestore
{
public:
	SDTShadowRestore(void)
	{
		m_dwWin32kBase = 0;
		m_dwW32pServiceTable = 0;
		m_KeServiceDescriptorTableShadow = 0;
		this->Init();
	}
	~SDTShadowRestore(void)
	{
		if(m_pKernelName)
		{
			::GlobalFree(m_pKernelName);
		}
	}
	bool Init();           //初始化该类
	DWORD FindW32pServiceTable();     //得到原始W32pServiceTable内存地址
	DWORD GetAddressSSDTShadow();            //得到KeServiceDescriptorTableShadow在内核中的内存地址
	DWORD GetServiceAddressById(DWORD ServiceId);        //获取服务原始地址
private:
	void AnsiToPTSTR(PTSTR DesStr, char *SourceStr, DWORD cbDesStr);
	
	DWORD GetProcFromIAT(LPCTSTR szProcName);      //根据函数名在IAT中查找函数地址
private:
	PIMAGE_OPTIONAL_HEADER m_pWin32kOptionalHeader;           //可选头的地址，非RVA
	HMODULE m_hWin32kModule;              //自己加载的Win32k.sys内核模块的模块句柄
	LPTSTR m_pKernelName;           //内核核心模块名
	HMODULE m_hKernelModule;            //内核核心模块ntoskrnl.exe或者ntkrnlpa.exe
	DWORD m_dwKernelBase;         //内核基址
	DWORD m_dwWin32kBase;         //Win32k.sys基址
	PSERVICE_DESCRIPTOR_TABLE m_KeServiceDescriptorTableShadow;         //内核中SSDT Shadow的真实内存地址
	DWORD m_dwW32pServiceTable;      //原始W32pServiceTaable表真实地址
};

#endif   

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)