ULONG GetPspTerminateProcessAddress()
{
    ULONG ntoskrnlAddr, sizeofNtoskrnl, endNtoskrnlAddr ,i;
    ULONG opcode1=0x8b55ff8b, opcode2=0xa16456ec, opcode3=0x00000124, opcode4=0x3b08758b;
	
    KeSetSystemAffinityThread(1); //使当前线程运行在第一个处理器上
    __asm{
        push eax
            push ebx
            mov eax,fs:[0x34]   ;得到KdVersionBlock的地址
            add eax,18h      ;得到指向PsLoadedModuleList的地址
            mov eax,[eax]      ;得到PsLodedModuleList的地址
            mov eax,[eax]      ;取出PsLoadedModuleList里面的内容,即KLDR_DATA_TABLE_ENTRY结构
            mov ebx,[eax+18h]  ;取出DllBase,即ntoskrnl.exe的基地址
            mov ntoskrnlAddr, ebx
                  mov ebx, [eax+20h] ;取出模块的大小
            mov sizeofNtoskrnl, ebx
                  pop ebx
                  pop eax
	}
    KeRevertToUserAffinityThread();//恢复线程运行的处理器


	endNtoskrnlAddr = ntoskrnlAddr + sizeofNtoskrnl;
	DbgPrint("ntoskrnlAddr: 0x%08x\nsizeofntoskrnl: %ul\n", ntoskrnlAddr,sizeofNtoskrnl);
	
                for (i=ntoskrnlAddr; i<endNtoskrnlAddr; i++)
	{
		if (*(PULONG)i==opcode1 && *(PULONG)(i+4)==opcode2
			&& *(PULONG)(i+8)==opcode3 && *(PULONG)(i+12)==opcode4)
		{
			DbgPrint("PspTerminateProcess: 0x%08X\n", i);
                                                return i;
		}
	}
 
	DbgPrint("我擦,找了半天没找到~ 可能是Windows版本的问题.\n");
                return 0;
}

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)