为什么这个函数在Ring3下可以返回正确的地址，而在驱动程序中总是返回0哦
给点提示吧
//Get the function address
ULONG GetFuncAddress( ULONG hModule, char* FuncName )
{
  ULONG PeHeaderVA;
  ULONG ExportVA;
  ULONG EntVA;
  ULONG EntIndexVA;
  ULONG EatVA;
  ULONG EntCount;
  ULONG IndexBase;
  ULONG i;
  ULONG FuncIndex;
  ULONG FuncVA;
  
  //Get the offset address of PEHeader
  if( 'M' == *(PUCHAR)hModule  && 'Z' == *(PUCHAR)(hModule +1) )
  {
    PeHeaderVA = hModule + *(PULONG)(hModule + 0x3C);
    DbgPrint("PeHeaderVA: \n");
   
    if( 'P' == *(PUCHAR)PeHeaderVA && 'E' == *(PUCHAR)(PeHeaderVA + 1) )
    {
      DbgPrint("Is Valid PE File \n");
      //得到导出表的VA
      ExportVA = hModule + *(PULONG)( PeHeaderVA + 0x78 );
      
      //得到ENT的VA
      EntVA = hModule +  *(PULONG)(ExportVA + 0x20);
      
      //函数序号表的VA
      EntIndexVA = hModule + *(PULONG)(ExportVA + 0x24);
      //EAT
      EatVA = hModule + *(PULONG)(ExportVA + 0x1C);
      
      //由函数名导出的函数的个数
      EntCount = *(PULONG)( ExportVA + 0x18 );
      
      //序号的基数
      IndexBase = *(PULONG)( ExportVA + 0x10 );
      
      for( i = 0; i < EntCount; i++ )
      {
        if( strstr( (char*)(*(PULONG)EntVA + hModule ), FuncName ) )
        {
          DbgPrint("Find The Function!\n");
         
          //得到函数的序号
          FuncIndex = (USHORT)(EntIndexVA + i*2) - IndexBase;
         
          //通过序号得到地址
          FuncVA = *(PULONG)(FuncIndex * 4 + EatVA);
          return FuncVA;
        }
        EntVA += 4;
      }
      
      DbgPrint("Can't Find The Function!\n");
      return 0;
    }
    else
    {
      DbgPrint("PEHeader Error!\n");
      return 0;  
    }
  }
  else
  {
    DbgPrint("DosHeader Error!\n");
    return 0;
  }
  
}

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！