以下，是我看雪看到的一段代码：

PVOID GetUndocumentFunctionAdress()
{
        ULONG size,index;
        PULONG buf;
        ULONG i;
        PSYSTEM_MODULE_INFORMATION module;
        PVOID driverAddress=0;
        ULONG ntosknlBase;
        ULONG ntosknlEndAddr;
        ULONG curAddr;
        NTSTATUS status;
        PVOID retAddr;
        ULONG code1_sp2=0x8b55ff8b,code2_sp2=0x0cec83ec,code3_sp2=0xfff84d83,code4_sp2=0x7d8b5756;
       
        ZwQuerySystemInformation(SystemModuleInformation,&size, 0, &size);
        if(NULL==(buf = (PULONG)ExAllocatePool(PagedPool, size)))
        {
                return 0;
        }
        status=ZwQuerySystemInformation(SystemModuleInformation,buf, size , 0);
        if(!NT_SUCCESS( status ))
        {
                return 0;
        }
        module = (PSYSTEM_MODULE_INFORMATION)(( PULONG )buf + 1);
        ntosknlEndAddr=(ULONG)module->Base+(ULONG)module->Size;
        ntosknlBase=(ULONG)module->Base;
        curAddr=ntosknlBase;
        ExFreePool(buf);
        for (i=curAddr;i<=ntosknlEndAddr;i++)
        {
                if ((*((ULONG *)i)==code1_sp2)&&(*((ULONG *)(i+4))==code2_sp2)&&(*((ULONG *)(i+8))==code3_sp2)&&(*((ULONG*)(i+12))==code4_sp2))
                {
                        retAddr=(PVOID*)i;
                        return retAddr;
                }
        }
        return 0;
}

这段代码目的是找出某函数的地址，但有一处我不知道是怎么得到的，就是：

ULONG code1_sp2=0x8b55ff8b,code2_sp2=0x0cec83ec,code3_sp2=0xfff84d83,code4_sp2=0x7d8b5756;

以这些硬编码为依据来查找地址，在win2k下是不行的(题外话就不说了);

我就想知道，或想学会，这些依据是如何得到的？ 或许是使用了Windbg, 或许是使用了SoftICE，......

最终问题如下：

    如何使用工具(windbg或softice)又或者是什么方法来得到诸如此类的"依据"呢？

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课