function IsShadowTable(cs1:ULONG):boolean;
var
I:integer;
lppp:ULONG;
begin
lppp:= ULONG(GetImportFunAddr(@KeServiceDescriptorTable));
result:=True;
for I:=0 To 15 do
begin
  if byte(pointer(cs1+I)^)<>byte(pointer(lppp+I)^) then
  begin
  Result:=false;
  break;
  end;
end;
end;

function FindShadowTable2:Pointer;
var
cPtr, pOpcode:ULONG;
cPtr2, pOpcode2:ULONG;
I:ULONG;
begin
  Result:=nil;
  cPtr:=ULONG(GetImportFunAddr(@KeAddSystemServiceTable));
  cPtr2:=ULONG(GetImportFunAddr(@KeServiceDescriptorTable));
  I:=cPtr;
  While (I<(cPtr+$1000)) Do
  begin
    if MmIsAddressValid(Pointer(I)) then
    begin
      if IsShadowTable(I) then
      begin
       Result:=Pointer(I);
       DbgPrint('%08x',Result);
      end;
    end;
    I:=I+1;
  end;
end;

首先申明 该写法是错误的 但是我不知道错在哪里 请熟悉delphi的大哥 更正

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课