发现基址

您好我将转储其它过程中内核驱动发现基址

，并使用KeStackAttachProcess改变驱动电流方面

后，用户模式地址变更怎么能找到的基址当前进程我需要基地址将其转换为PIMAGE_DOS_HEADER（并解析它以查找部分）可以使用PEB吗？

其他解决方案？

2011-04-12 maysam

没有为一个特殊的API函数：

NTKERNELAPI 
PVOID 
PsGetProcessSectionBaseAddress(
    __in PEPROCESS Process 
    );

而且你可以在EPROCESS结构使用SectionBaseAddress领域：

+0x128 SectionBaseAddress : 0x00400000 Void

它可以在不同的操作系统版本不同而不同。

2011-04-12 11:16:13

我无法在WDK中找到PsGetProcessSectionBaseAddress，它是否是undoc？并使用它很好？ – maysam 2011-04-13 05:32:43

是的，它是undoc。只需检查此功能是否存在于您想要支持的操作系统版本上。它存在于我的w2k3和w7机器上，但我不确定早期的系统。 – 2011-04-15 10:50:39

回答