我需要知道加载nt和win32k的基地址.我可以通过在启用内核调试的情况下启动系统来查找此信息,启动内核调试会话,并运行命令lm以获取已加载模块的列表.
我想要做的是以编程方式确定加载这两个模块的位置,而无需启动到调试模式和使用内核调试器.我需要基本地址来解析Windows事件跟踪日志文件中的系统调用.
我正在使用的系统正在运行Windows Server 2008 R2.
加载的内核模块和基址(包括ntoskrnl)的列表存储在PsLoadedModulesList符号指向的列表中.
或者使用ZwQuerySystemInformation(SystemModuleInformation)代替.
原文链接：https://www.f2er.com/windows/364775.html或者使用ZwQuerySystemInformation(SystemModuleInformation)代替.
