x64加载内核符号解析地址

逍遥的男孩

原文：【推荐】分享一个x64内核符号枚举代码 50行 简洁易懂
作者：友情zyj
链接：http://bbs.pediy.com/showthread.php?t=204535

1. #include <Windows.h>
2. #include <stdio.h>
3. #include <string>
4. #include <psapi.h>
6. #include "dbghelp.h"
7. #pragma comment(lib,"dbghelp.lib")
9. BOOL CALLBACK EnumSymCallBack(PSYMBOL_INFO pSymInfo, ULONG SymbolSize, PVOID UserContext)
10. {
11.   if (strcmp((pSymInfo->Name), "PspCreateProcessNotifyRoutine") == 0 ||
12.     strcmp((pSymInfo->Name), "PspLoadImageNotifyRoutine")     == 0 ||
13.     strcmp((pSymInfo->Name), "PspCreateThreadNotifyRoutine")  == 0)
14.   {
15.       printf("%-30s :%p\n", pSymInfo->Name, pSymInfo->Address);
16.   }
17.   return TRUE;
18. }
20. int main()
21. {
22.   std::string strMod;
23.   PVOID dwBaseAddr = 0;
24.   PVOID pDrvAddr[128*8];
25.   DWORD dwcbNeeded = 0;
26.   if (EnumDeviceDrivers(pDrvAddr,sizeof(pDrvAddr),&dwcbNeeded))
27.   {
28.     for (unsigned int i=0 ; i<(dwcbNeeded/8) ; i++)
29.     {
30.       LPSTR chDrvName[MAX_PATH];
31.       GetDeviceDriverBaseNameA(pDrvAddr[i],(LPSTR)chDrvName,MAX_PATH);
32.       dwBaseAddr = pDrvAddr[i];
33.       strMod = std::string((char*)chDrvName);
34.       printf("%-20s 0x%p\n",strMod.c_str(),dwBaseAddr);
35.       break;
36.     }
37.   }
38.   SymSetOptions(SYMOPT_DEFERRED_LOADS);
39.   HANDLE hProcess = GetCurrentProcess();
40.   SymInitialize(hProcess, 0, FALSE);
41.   std::string strSymbolPath = "srv*C:\\Windows\\symbols*http://msdl.microsoft.com/download/symbols";
42.   std::string strSystemPath = "C:\\Windows\\System32\\" + strMod;
43.   SymSetSearchPath(hProcess, strSymbolPath.c_str());
44.   HANDLE hSystemFile = CreateFileA(strSystemPath.c_str(), GENERIC_READ, FILE_SHARE_READ | FILE_SHARE_WRITE,
45.     NULL, OPEN_EXISTING, 0, NULL);
46.   DWORD dwFileSize = GetFileSize(hSystemFile, NULL);
47.   DWORD64  dwBase = SymLoadModule64(hProcess, NULL, strSystemPath.c_str(), NULL, (DWORD64)dwBaseAddr, dwFileSize);
48.   printf("正在枚举符号...\n");
49.   SymEnumSymbols(hProcess, dwBase, 0, EnumSymCallBack, 0);
50.   printf("枚举符号结束...\n");
51.   SymUnloadModule64(hProcess, dwBase);
52.   SymCleanup(hProcess);
53.   system("pause");
54.   return 0;
55. }

复制代码

看别人源码写的邋里邋遢，于是改了下，发上来看看大家能用不


工程要编译成x64位的。


还需要两个DLL dbghelp.dll  symsrv.dll 和编译生成的EXE放在一起 （在windbg目录有这俩个DLL）


以下是测试结果...
ntoskrnl.exe     0xFFFFF8000400E000
正在枚举符号...
PspCreateProcessNotifyRoutine :FFFFF80004234F80
PspLoadImageNotifyRoutine   :FFFFF80004234D00
PspCreateThreadNotifyRoutine  :FFFFF80004234D60
枚举符号结束...
请按任意键继续. . .