-
-
[求助]求助NtQuerySystemInformation列模块返回的Section是什么?
-
发表于:
2009-7-20 20:55
5743
-
[求助]求助NtQuerySystemInformation列模块返回的Section是什么?
NtQuerySystemInformation在查询 SystemModuleInformation的时候,传入的结构
typedef struct _RTL_PROCESS_MODULE_INFORMATION {
HANDLE Section; // Not filled in
PVOID MappedBase;
PVOID ImageBase;
ULONG ImageSize;
ULONG Flags;
USHORT LoadOrderIndex;
USHORT InitOrderIndex;
USHORT LoadCount;
USHORT OffsetToFileName;
UCHAR FullPathName[ 256 ];
} RTL_PROCESS_MODULE_INFORMATION, *PRTL_PROCESS_MODULE_INFORMATION;
RTL这是参考WRK里的命名, 也就是有些同学叫的SYSTEM_MODULE_INFORMATION.
其中搞不明白的是 第一个成员:HANDLE Section. WRK并没有演示怎么操作的. 我很想知道它是什么类型.
我试着ObReferenceObjectByHandle 好像不行...
请问各位老大, 可不可以通过这个成员 按照 Section->...->FileObject路径获取到模块的完整路径?
[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课