能力值：
( LV2，RANK：10 )
|
-
-
2 楼
那是你没冲定位计算才出现的误差吧直接取是不行的
|
能力值：
( LV5，RANK：60 )
|
-
-
3 楼
1.SSDT表只是ntkrnlpa.exe模块N多函数中的一部分,是不是集中排列的这个不清楚,除非你确定,不然,猜测这种可能性很小,具体没研究,待楼主自己试验下
2.启动的时候已经加载ntkrnlpa.exe,你这里是否用的文件映射?映射的话需要模拟现存的ntkrnlpa.exe模块环境,比如模块当前的基址,自处理里面所有的重定位,这两点处理好了,直接比较应该就是比较可靠的
|
能力值：
( LV2，RANK：10 )
|
-
-
4 楼
1、这个也没有试，当不同字节数小于等于3个时我将其排除掉，这样统计下来SSDT表里面的函数被hook的个数在10个以内，不知道这样能不能说明这个问题？
2、我是用的文件映射来做的，得到了基址，然后对比的
|
能力值：
![]()
(RANK：50 )
|
-
-
5 楼
注意某些指令后面的地址是绝对地址，这样重载的内核中的代码就会和原有内核中不一样。
不过这些基本都会被重定位，处理一下就好。
另外建议用好微软的内核调试符号
|
|
|
