山总不知道什么情况，我们也不知道什么情况

山总不知道什么情况，我们也不知道什么情况

万剑归宗 山总不知道什么情况，我们也不知道什么情况

这并不好笑!
首先我来问问题，确实是我不懂才来问
我也不是什么山总，我根本不知道山总是个什么玩意!

山总不知道什么情况，我们也不知道什么情况

你需要日掉RtlpxLookupFunctionTable

抄BLACKBONE你好歹看看commits吧..
山总不知道什么情况，我们也不知道什么情况

山总不知道什么情况，我们也不知道什么情况

MFC42.DLL找“喊话CALL”

山总不知道什么情况，我们也不知道什么情况

方法一：动态找 RtlInsertInvertedFunctionTable 调用，插入当前驱动模块基址和大小，WIN7 没问题，WIN10 PG蓝屏
方法二：动态找 MiProcessLoaderEntry 调用，WIN7-WIN10 都不触发PG，缺点，你的驱动模块可以枚举出来。

山总不知道什么情况，我们也不知道什么情况

6楼说的对，x86异常靠栈，x64靠表 参考RtlInsertInvertedFunctionTable

不要用SAFESEH ,加载驱动和被加载驱动都用VS2008编译。2015的坑太多。

还有尽量别用这种方式否则在WIN10开启了内核隔离，你会死的很惨。

StriveXjun 方法一：动态找 RtlInsertInvertedFunctionTable 调用，插入当前驱动模块基址和大小，WIN7 没问题，WIN10 PG蓝屏 方法二：动态找 MiProcessLoader ...

非常感谢，唉

EvilTobe 6楼说的对，x86异常靠栈，x64靠表 参考RtlInsertInvertedFunctionTable

谢

StriveXjun 方法一：动态找 RtlInsertInvertedFunctionTable 调用，插入当前驱动模块基址和大小，WIN7 没问题，WIN10 PG蓝屏 方法二：动态找 MiProcessLoader ...

RtlInsertInvertedFunctionTableWin7 pfnRtlInsertInvertedFunctionTable = NULL;

       do
       {
               if (!MmIsAddressValid((PVOID)pAddress))
                       break;

               pAddress = (PUCHAR)GetUndocumentFunctionAddressEx(NULL, pAddress, code, 5, 0x200, 0x90, 4, FALSE);

               if (!MmIsAddressValid(pAddress))
                       break;

               PsTable = GetLeaPoint(pAddress);

               if (!MmIsAddressValid(PsTable))
                       break;

               pfnRtlInsertInvertedFunctionTable = (RtlInsertInvertedFunctionTableWin7)GetCallAddress(pAddress + 7);

               if (!MmIsAddressValid((PVOID)pfnRtlInsertInvertedFunctionTable))
                       break;

               status = pfnRtlInsertInvertedFunctionTable(PsTable, pDriverInfo->ImageBase, pDriverInfo->ImageSize);
       } while (FALSE);


似乎没有作用

老坛酸菜TM RtlInsertInvertedFunctionTableWin7 pfnRtlInsertInvertedFunctionTable = NULL; do { if (!MmIs ...

参考：625K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6K6N6s2u0A6N6X3g2^5K9Y4g2F1i4K6u0r3e0h3g2E0L8%4u0&6e0h3!0V1N6h3I4W2f1q4m8Q4x3V1k6T1L8r3!0T1i4K6u0r3L8h3q4K6N6r3g2J5i4K6u0r3e0h3g2E0L8%4u0&6e0h3!0V1N6h3I4W2f1q4m8Q4x3X3g2U0i4K6t1$3L8X3u0K6M7q4)9K6b7W2)9J5y4X3&6T1M7%4m8Q4x3@1u0Q4x3U0k6F1j5Y4y4H3i4K6y4n7i4K6t1$3L8X3u0K6M7q4)9K6b7W2)9J5y4X3&6T1M7%4m8Q4x3@1u0Q4c8e0W2Q4b7e0W2Q4b7U0q4Q4c8e0g2Q4z5p5q4Q4b7e0S2Q4c8e0g2Q4b7U0q4Q4z5o6u0Q4c8e0k6Q4z5e0S2Q4b7f1k6Q4c8e0c8Q4b7U0S2Q4z5o6m8Q4c8e0k6Q4b7e0m8Q4b7U0N6Q4c8e0N6Q4z5f1q4Q4z5o6b7`.

月入数十万的山总老是问这种问题，你的绝地驱动又不行了？