能力值：
( LV12，RANK：450 )
|
-
-
2 楼
看看我以前回答的问题，参考一下：
http://bbs.pediy.com/showthread.php?t=51369
|
能力值：
( LV12，RANK：1010 )
|
-
-
3 楼
刚好在分析一程序。笔记中有这部分的内容，帖出来供LZ参考：
ZwQuerySystemInformation 调用11号获得系统模块信息.从中找到指定的内核模块; WRK中无相关定义,windbg也弄不出来,不过ReactOS里面有:
typedef struct _RTL_PROCESS_MODULES
{
ULONG NumberOfModules; +0
RTL_PROCESS_MODULE_INFORMATION Modules[1];
} RTL_PROCESS_MODULES, *PRTL_PROCESS_MODULES;
typedef struct _RTL_PROCESS_MODULE_INFORMATION
{
ULONG Section; +4
PVOID MappedBase;
PVOID ImageBase; +12
ULONG ImageSize;
ULONG Flags;
USHORT LoadOrderIndex;
USHORT InitOrderIndex;
USHORT LoadCount;
USHORT OffsetToFileName; +30
CHAR FullPathName[256]; +32
} RTL_PROCESS_MODULE_INFORMATION, *PRTL_PROCESS_MODULE_INFORMATION;
|
能力值：
( LV4，RANK：50 )
|
-
-
4 楼
感谢楼上两位的回答。不过有一个问题，函数ZwQuerySystemInformation其中的结构说是在不同的操作系统当中有不同的结构和布局，那是不是就是意味着如果用这个函数来实现功能的话，就不太可能在不同的操作系统当中实现二进制兼容了吧。
有关在内核代码当中搜索特定函数字符串的方法，可不可以通过打开System进程啊？这个进程是不是内核代码的主体啊！不知道我通过这个进程可不可以一样访问到内核代码。可否请回答一下，谢谢！
|
能力值：
( LV12，RANK：1010 )
|
-
-
5 楼
你的第二个问题问的 很神奇。
基本不着边际。 
|
|
|
|
