函数名获取函数地址 MmGetSystemRoutineAddress

最新推荐文章于 2021-04-15 11:18:00 发布

转载最新推荐文章于 2021-04-15 11:18:00 发布 · 4.1k 阅读

自己写的函数全部集合专栏收录该内容

13 篇文章

订阅专栏

本文展示了一个简单的Windows驱动程序卸载函数实现示例。该示例通过使用`DriverUnLoad`函数来完成驱动程序的卸载过程，并打印一条消息以确认驱动已成功卸载。此外，还展示了如何获取系统例程地址。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >


#include<ntifs.h>


VOID DriverUnLoad(PDRIVER_OBJECT pDriverObject)
{
	DbgPrint("驱动已卸载...");
}

NTSTATUS DriverEntry(IN PDRIVER_OBJECT pDriverObject, IN PUNICODE_STRING pRegPath)
{

	NTSTATUS Status;
	ULONG RetAddress;

	pDriverObject->DriverUnload = DriverUnLoad;
	UNICODE_STRING str1;
	RtlInitUnicodeString(&str1, L"PsSynchronizeWithThreadInsertion");
		ULONG PsSynchronizeWithThreadInsertion =(ULONG) MmGetSystemRoutineAddress(&str1);
		KdPrint(("PsSynchronizeWithThreadInsertion %x\n", PsSynchronizeWithThreadInsertion));
	
	return STATUS_SUCCESS;
}