小弟是新手，请各位大神帮忙解惑一下，谢谢你们啦 非常感谢。

最近小弟在参考了一些文章后，顺利获得NtReadVirtualMemory的服务号为0XBA，然后用Kernel Detective验证了一下，确实正确。

我的问题是
1.我在网上看到获取 NtReadVirtualMemory地址做法是，用SSDT表的基地址+它的服务号索引，NtReadVirtualMemoryAddr = KeServiceDescriptorTable->ServiceTableBase + pos_ReadVirtualMemory(服务号)，这个SSDT的基地址怎么获得？

SSDT表的结构体我是网上考过来的，它的定义是
typedef struct ServiceDescriptorEntry {
unsigned int *ServiceTableBase;//System Service Dispatch Table 的基地址
unsigned int *ServiceCounterTableBase; //包含着 SSDT 中每个服务被调用次数的计数器。这个计数器一般由sysenter 更新。
unsigned int NumberOfServices;//由 ServiceTableBase 描述的服务的数目。
unsigned char *ParamTableBase;//包含每个系统服务参数字节数表的基地址-系统服务参数表
} ServiceDescriptorTableEntry, *PServiceDescriptorTableEntry;

2. 还有 上面写的式子是不是要将服务号乘4啊，因为地址占4个字节？

谢谢大家，表示非常感谢。

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！