使用NtQuerySystemInformation來檢索加載的模塊，從加載模塊里面搜索出ntoskrnl.exe模塊

NTSTATUS Status;PUCHAR BaseAddress = NULL;NTSTATUS ntStatus;PMODULES pModules;ULONG NeededSize;pModules = (PMODULES)&pModules;ntStatus = NtQuerySystemInformation(SystemModuleInformation, pModules, 4, &NeededSize);if(ntStatus == STATUS_INFO_LENGTH_MISMATCH){pModules = (PMODULES)ExAllocatePool(PagedPool, NeededSize);if(!pModules)return STATUS_INSUFFICIENT_RESOURCES;ntStatus = NtQuerySystemInformation(SystemModuleInformation, pModules, NeededSize, NULL);if(!NT_SUCCESS(ntStatus)){ExFreePool(pModules);return ntStatus;}}if(!NT_SUCCESS(ntStatus)){return ntStatus;}BaseAddress = (PUCHAR)pModules->smi.Module[0].MappedBase;

總結(jié)

以上是生活随笔為你收集整理的获取ntoskrnl的基址的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。