从想得到ndis.sys的基址想到的问题。

利用ZwQuerySystemInformation只能得到加载的内核模块的映像，那如果要得到所有进程的映象，该如何？

好像没有免费的哦，可以免费下，但是要序列号，序列号要钱。
www.pcausa.com

用KeGetCurrentThread函数等方法得到ETHREAD结构头指针，由此得到EPROCESS结构，再由进程链的所有进程EPROCESS。一般你需要的东西都可找到了。
若要找进程环境里的一些东西，如PEB，要先Attach到该环境。

EPROCESS果然是有这个那么一个什么BaseAddress的东西，确实能找到进程映象，还有一个LIST_ENTRY，估计也可以枚举到别的进程，好，给分！