sidyhe PsLoadedModuleList里有吗? 最不济的话从原模块里取吧! 至于为什么没有还得仔细研究 加油

这个问题解决了，是我代码的问题，排查了很久

在计算 IMAGE_BASE_RELOCATION 结构的 TypeOffset[]  数组时出现错误

因为

typedef struct _IMAGE_BASE_RELOCATION {

    ULONG   VirtualAddress;

    ULONG   SizeOfBlock;

    USHORT  TypeOffset[1];

} IMAGE_BASE_RELOCATION;

故在计算TypeOffset成员的时候会造成漏项

u_offset_array_size = (pimage_base_relocation->SizeOfBlock - sizeof(IMAGE_BASE_RELOCATION) + 

                                    sizeof(pimage_base_relocation->TypeOffset)) / sizeof(USHORT);

所以要么在结构定义的时候注释掉TypeOffset成员，即

typedef struct _IMAGE_BASE_RELOCATION {

    ULONG   VirtualAddress;

    ULONG   SizeOfBlock;

    //USHORT  TypeOffset[1];

} IMAGE_BASE_RELOCATION;

或者干脆在计算的时候直接用

u_offset_array_size = (pimage_base_relocation->SizeOfBlock - 0x8)/0x2;

在此做个总结，记录下