连接错误，保存为.c文件。

谢谢了 不过我原先的文件就是.c格式的

那个函数是导出的吗？导出的话有声明吗？

找了下资料

虽然 NtWriteVirtualMemory  在SSDT 中出现,但 ntoskrnl.exe 并没导出(ZwWriteVirtualMemory  或 NtWriteVirtualMemory  ).
所以编译的时候 ZwQuerySystemInformation 可以用,而ZwWriteVirtualMemory  却不行.

但这函数在NTDLL中却有导出,DDK 编译时默认不包含 ntdll.lib 文件.
所以你只要在 SOURCES 文件中加入 TARGETLIBS = $(DDK_LIB_PATH)\ntdll.lib
就可以正常编译这程序.

因为 ntdll.dll 和 ntoskrnl.exe 中 Zw***** 函数的第一条指令一样,都是
MOV  EAX, 索引号

http://bbs.driverdevelop.com/read.php?tid-102377.html

不知道怎么修改。。。。。。。。。

在头文件中,声明一下就行了吧
NTSYSAPI
NTSTATUS
NTAPI
NtReadVirtualMemory(
    IN HANDLE ProcessHandle,
    IN PVOID BaseAddress,
    OUT PVOID Buffer,
    IN ULONG BufferSize,
    OUT PULONG NumberOfBytesRead OPTIONAL
    );

把用ZW*声明的都改成NT*的,不要用ZW声明了,及时HOOK了ZW函数也没用啊
NTSYSAPI
NTSTATUS
NTAPI
NtWriteVirtualMemory(
    IN HANDLE ProcessHandle,
    OUT PVOID BaseAddress,
    IN PVOID Buffer,
    IN ULONG BufferSize,
    OUT PULONG NumberOfBytesWritten OPTIONAL
    );

两个是导出的 一个没有导出
导出的都声明了。
还有一个没导出的不知道怎么处理

你去看下看雪精华十 里面有一个ssdthook就是那样写的

标 题：打造自己的HOOK引擎 之一 --- SSDT HOOK引擎
作 者：easystone
时 间：2008-12-22 21:50

链 接：http://bbs.pediy.com/showthread.php?t=79247

关键是有一个函数NtWriteVirtualMemory  在SSDT 中出现,但 ntoskrnl.exe 并没导出

但这函数在NTDLL中却有导出,DDK 编译时默认不包含 ntdll.lib 文件.
所以你只要在 SOURCES 文件中加入 TARGETLIBS = $(DDK_LIB_PATH)\ntdll.lib
就可以正常编译这程序.

正常编译之后 驱动无法实现 加载服务失败

NtWriteVirtualMemory没有导出，要自己从SSDT里面获取地址

哇哇,你说的真麻烦

头文件:

#include "ntddk.h"      

#define PAGECODE code_seg("PAGE")
#define INITPAGE code_seg("INIT")

/////////////////////////////////////////////////////////////////////////////////////////////////////////////////
//定义NtOpenProcess/NtOpenThread/NtReadVirtualMemory/NtWriteVirtualMemory三个函数原型
NTSYSAPI
NTSTATUS
NTAPI
NtOpenProcess (
                           OUT PHANDLE ProcessHandle,
                           IN ACCESS_MASK DesiredAccess,
                           IN POBJECT_ATTRIBUTES ObjectAttributes,
                           IN PCLIENT_ID ClientId OPTIONAL
                           );
NTSYSAPI
NTSTATUS
NTAPI
NtOpenThread (
                          OUT PHANDLE ThreadHandle,
                          IN ACCESS_MASK DesiredAccess,
                          IN POBJECT_ATTRIBUTES ObjectAttributes,
                          IN PCLIENT_ID ClientId OPTIONAL
                          );
NTSYSAPI
NTSTATUS
NTAPI
NtReadVirtualMemory(
                                        IN HANDLE ProcessHandle,
                                        IN PVOID BaseAddress,
                                        OUT PVOID Buffer,
                                        IN ULONG BufferSize,
                                        OUT PULONG NumberOfBytesRead OPTIONAL
                                        );

NTSYSAPI
NTSTATUS
NTAPI
NtWriteVirtualMemory(
                                         IN HANDLE ProcessHandle,
                                         OUT PVOID BaseAddress,
                                         IN PVOID Buffer,
                                         IN ULONG BufferSize,
                                         OUT PULONG NumberOfBytesWritten OPTIONAL
                                         );
///////////////////////////////////////////////////////////////////////////////////////////////////////////////////

//SSDT结构体声明
typedef struct _SERVICE_DESCRIPTOR_TABLE      
{      
        PVOID    ServiceTableBase;      
        PULONG   ServiceCounterTableBase;      
        ULONG    NumberOfService;      
        ULONG    ParamTableBase;      
}*PSERVICE_DESCRIPTOR_TABLE;
//链接导出SSDT指针
extern PSERVICE_DESCRIPTOR_TABLE KeServiceDescriptorTable;      

VOID Hook();      
VOID Unhook();

//保存原来地址

ULONG OldThread,JmpThread,OldProcess,JmpProcess,OldRead,JmpRead,OldWrite,JmpWrite;

源文件中:
NTSTATUS MyNtReadVirtualMemory(
                                                          IN HANDLE ProcessHandle,
                                                          IN PVOID BaseAddress,
                                                          OUT PVOID Buffer,
                                                          IN ULONG BufferSize,
                                                          OUT PULONG NumberOfBytesRead OPTIONAL
                                                          )
{
        __asm
        {
                        push 0x1c
                        jmp JmpRead
        }
}

我是这样写,可以SSDT了

不是麻烦 主要是考虑系统兼容性
不考虑兼容的我写了一个
但是没用
因为win7下蓝屏
还有一个就是我去掉了硬件编码的部分之后
在win7下无法加载

如果不是考虑 系统兼容我也不需要
mdl这个办法了
也不会这么麻烦的去定位函数

你用win7测试下 会有收获的

ZwWriteVirtualMemory 也是没导出的吧
隔壁那个不是有人回答你了么，在PEB里找ntdll然后找到ZwWriteVirtualMemory的序号。
其实可以直接在Ring3找到然后DeviceIoControl给驱动的。

不知道代码怎么写。。

没导出的话需要自己找函数的入口地址，去遍历ntdll。。。找函数索引~

然后用~
#define HOOK_SYSCALLBYID(_ServiceId, _Hook, _Orig )  _Orig = (PVOID) InterlockedExchange( (PLONG) \&MappedSystemCallTable[_ServiceId], (LONG) _Hook)
替换即可。

ULONG NtWriteVirtualMemoryServiceID = 0x115;//我是直接查的冰刃。。。