【求助】如何取得KeStackAttachProcess的地址
这个函数是nt导出来的。可是我用下面的代码得到的是错的
        pushad
        ;下面是用KeServiceDescriptorTabled导出符号获得数组的基地址，这个数组中包含有NtXXXX函数的入口地址。
        mov eax, KeServiceDescriptorTable
        mov esi, dword ptr[eax]
        mov esi, dword ptr[esi]
        ;用MmGetSystemRoutineAddress来获得函数ZwLoadDriver的地址。并从这个函数地址后面的第2个字节中取得服务号。从而
        ;获得以服务号为下标的数组元素。
        invoke MmGetSystemRoutineAddress,addr g_KeStackAttachProcess
        inc eax
        movzx ecx,byte ptr[eax]
        sal ecx,2                  
        add esi,ecx
        mov edi,dword ptr[esi]
        invoke DbgPrint, $CTA0("g_KeStackAttachProcess:%08X"),edi
        popad

是不是因为KeServiceDescriptorTabled这个表里面没有导出来这个函数。所以取不到
哪要用什么方法才能取到正确的
好像内核里面没有像GetProcAddress这样的函数哦

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！