内核特征码搜索获取未导出函数

zhuhuibeishadiao

于 2017-06-19 15:56:07 发布

阅读量3.8k

点赞数 2

分类专栏：驱动学习文章标签：特征码搜索未导出函数内核特征码

本文链接：https://blog.youkuaiyun.com/zhuhuibeishadiao/article/details/73468346

版权

本文介绍了如何进行内核特征码搜索，从而找到系统中未导出的函数，虽然过程中可能遇到一些Bug，但总体提供了一种探索内核功能的方法。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

无聊写了下

有Bug 注意下就好啦~

#include "GetUndocumentFunctionAdress.h"
#pragma warning(disable : 4047)

PVOID GetCallPoint(PVOID pCallPoint)
{
    ULONG dwOffset = 0;
    ULONG_PTR returnAddress = 0;
    LARGE_INTEGER returnAddressTemp = { 0 };
    PUCHAR pFunAddress = NULL;

    if (pCallPoint == NULL || !MmIsAddressValid(pCallPoint))
        return NULL;

    pFunAddress = pCallPoint;
    // 函数偏移
    RtlCopyMemory(&dwOffset, (PVOID)(pFunAddress + 1), sizeof(ULONG));

    // JMP向上跳转
    if ((dwOffset & 0x10000000) == 0x10000000)
    {
        dwOffset = dwOffset + 5 + pFunAddress;
        returnAddressTemp.QuadPart = (ULONG_PTR)pFunAddress & 0xFFFFFFFF00000000;
        returnAddressTemp.LowPart = dwOffset;
        returnAddress = returnAddressTemp.QuadPart;
        return (PVOID)returnAddress;
     }

     returnAddress = (ULONG_PTR)dwOffset + 5