win10 C++ 内核中遍历内核模块源码

唐天宇

win10 C++ 内核中遍历内核模块源码

下面直接放相关代码：

1. #include <ntifs.h>
   
2. LONGLONG mGetModuleBaseByName(PDRIVER_OBJECT pDriver, UNICODE_STRING moduleName)
   
3. {
   
4.     UNREFERENCED_PARAMETER(moduleName);
   
5.     PLDR_DATA_TABLE_ENTRY pLdr = NULL;
   
6.     PLIST_ENTRY pListEntry = NULL;
   
7.     PLIST_ENTRY pCurrentListEntry = NULL;
   
8. 
   
9.     PLDR_DATA_TABLE_ENTRY pCurrentModule = NULL;
   
10.     pLdr = (PLDR_DATA_TABLE_ENTRY)pDriver->DriverSection;
    
11.     pListEntry = pLdr->InLoadOrderLinks.Flink;
    
12.     pCurrentListEntry = pListEntry->Flink;
    
13. 
    
14.     while (pCurrentListEntry != pListEntry)
    
15.     {
    
16.         //获取PLDR_DATA_TABLE_ENTRY结构
    
17.         pCurrentModule = CONTAINING_RECORD(pCurrentListEntry, LDR_DATA_TABLE_ENTRY, InLoadOrderLinks);
    
18.         if (pCurrentModule->BaseDllName.Buffer != nullptr)
    
19.         {
    
20. 
    
21.             DbgPrintEx(0, 77, "ModuleName:%wZ", pCurrentModule->BaseDllName);
    
22.          
    
23.             //比较模块名
    
24.             if (RtlCompareUnicodeString(&pCurrentModule->BaseDllName, &moduleName, true) == 0)
    
25.             {
    
26.                 return (LONGLONG)pCurrentModule->DllBase;
    
27.             }
    
28. 
    
29.         }
    
30.         pCurrentListEntry = pCurrentListEntry->Flink;
    
31.     }
    
32.     return 0;
    
33. }
    
34. 
    
35. void UnDriverLoad(DRIVER_OBJECT* pDriver)
    
36. {
    
37.     UNREFERENCED_PARAMETER(pDriver);
    
38. }
    
39. 
    
40. extern "C" NTSTATUS DriverEntry(DRIVER_OBJECT * pDriver, UNICODE_STRING * pRegistryPath)
    
41. {
    
42.     UNREFERENCED_PARAMETER(pRegistryPath);
    
43.     pDriver->DriverUnload = UnDriverLoad;   
    
44.     UNICODE_STRING mName= RTL_CONSTANT_STRING(L"");
    
45.     mGetModuleBaseByName(pDriver, mName);
    
46.     return STATUS_SUCCESS;
    
47. }

复制代码

百鬼夜行天

学习了。