Shadow SSDT不好弄啊

主要是没有什么好方法将调用号和函数名关联起来，狙剑倒是可以做到
不知道丫是怎么搞的？？？郁闷ing

你的老套路--------------硬编码.

哈哈 还是wowowowocock了解我
以后有机会拜访你下 hoho

好像是根据NTDLL或者NTOSKERNL的导出函数进行关联的把。

Shadow SSDT用户态函数不是在Ntdll中 是在user32中，且内部函数不导出

SHADOW SSDT在WIN32K.SYS中.
代码在看雪中有人共享了一份.

顺便把搜索Shadow SSDT表的代码共享下，参考MJ的 hoho


PVOID
FindShadowSSDT()
{
    ULONG i;
    for (i=0;i<100;i++)
    {
        PVOID addr = (PVOID)(*(PULONG)((ULONG)KeAddSystemServiceTable + i));
        if (!MmIsAddressValid(addr) ||
            KeServiceDescriptorTable == addr ||
            RtlCompareMemory(addr, KeServiceDescriptorTable, 0x10) != 0x10)
            continue;
        return addr;
    }
    return NULL;
}