近日在学习:
http://bbs.pediy.com/showthread.php?t=42422&highlight=%E5%BF%85%E5%A4%87+%E5%A4%87%E7%BB%9D+%E7%BB%9D%E6%8A%80+Hook+%E5%A4%A7%E6%B3%95

基本原理明白了，但有个别细节不懂：

#define SYSTEMSERVICE(_func) \
          KeServiceDescriptorTable.ServiceTableBase[ *(PULONG)((PUCHAR)_func+1)]
  
#define SYSCALL_INDEX(_Function) *(PULONG)((PUCHAR)_Function+1)

SYSTEMSERVICE macro：可以获得由ntoskrnl.exe导出函数,以Zw*开头函数的地址，这个函数的返回值就是Nt*函数，Nt*函数的地址就在SSDT中

SYSCALL_INDEX macro：获得Zw*函数的地址并返回与之通信的函数在SSDT中的索引。

这两个宏之所以能工作，是因为所有的Zw*函数都开始于opcode：MOV eax, ULONG，这里的ULONG就是系统调用函数在SSDT中的索引。

请教下*(PULONG)((PUCHAR)_func+1)为什么能够获取MOV eax, ULONG中的ULONG呢？
小弟底层功底太浅，麻烦大家给讲解一下。

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！