c-如何使用可执行文件的基地址定位函数的地址

Question

好的，所以我有ntoskrnl.exe的基地址，并且想要定位既不导出也不导入的内部函数的地址。在内核模式下如何做到这一点？

Answer 1

您可以对函数进行模式扫描，或者它有一个静态RVA。有很多方法，但最简单的方法是创建一个签名(例如IDAPro中的SigMaker(并在模块中扫描它。

对于导出的例程，这要容易得多：

https://learn.microsoft.com/en-us/windows-hardware/drivers/ddi/wdm/nf-wdm-mmgetsystemroutineaddress

对于特定模块，您可以手动遍历EAT(导出地址表(。