能力值：
( LV2，RANK：10 )
|
-
-
2 楼
因为内核没导出这玩意。。所以不能直接Get。
可以从别的地方间接获取。
例如
从SSDT表里根据ZwLoadDriver的Index直接获取。
从内核ntoskr*.exe文件的原始KiServiceTable中得到一个原始的值，根据当前基址重定位下。
还可以暴力搜索内存
或者使用用微软符号表。
又想了一下或许可以。Hook NtLoadDriver路径中调用的一些函数，然后构造一个虚假调用。。在Hook函数中通过堆栈回溯到NtLoadDriver的地址。。未亲身测试。
|
能力值：
( LV4，RANK：50 )
|
-
-
3 楼
换用 ZwLoadDriver 函数不行？
|
能力值：
( LV2，RANK：10 )
|
-
-
4 楼
直接用ssdt了。。
|
|
|
|
