分享一个x64内核符号枚举代码 50行 简洁易懂

jimmy肖明

看别人源码写的邋里邋遢，于是改了下，发上来看看大家能用不

工程要编译成x64位的。

还需要两个DLL  dbghelp.dll   symsrv.dll  和编译生成的EXE放在一起 （在windbg目录有这俩个DLL）

以下是测试结果...
ntoskrnl.exe         0xFFFFF8000400E000
正在枚举符号...
PspCreateProcessNotifyRoutine  :FFFFF80004234F80
PspLoadImageNotifyRoutine      :FFFFF80004234D00
PspCreateThreadNotifyRoutine   :FFFFF80004234D60
枚举符号结束...
请按任意键继续. . .

1. 
   
2. #include <Windows.h>
   
3. #include <stdio.h>
   
4. #include <string>
   
5. #include <psapi.h>
   
6. 
   
7. #include "dbghelp.h"
   
8. #pragma comment(lib,"dbghelp.lib")
   
9. 
   
10. BOOL CALLBACK EnumSymCallBack(PSYMBOL_INFO pSymInfo, ULONG SymbolSize, PVOID UserContext)
    
11. {
    
12.   if (strcmp((pSymInfo->Name), "PspCreateProcessNotifyRoutine") == 0 ||
    
13.     strcmp((pSymInfo->Name), "PspLoadImageNotifyRoutine")     == 0 ||
    
14.     strcmp((pSymInfo->Name), "PspCreateThreadNotifyRoutine")  == 0)
    
15.   {
    
16.       printf("%-30s :%p\n", pSymInfo->Name, pSymInfo->Address);
    
17.   }
    
18.   return TRUE;
    
19. }
    
20. 
    
21. int main()
    
22. {
    
23.   std::string strMod;
    
24.   PVOID dwBaseAddr = 0;
    
25.   PVOID pDrvAddr[128*8];
    
26.   DWORD dwcbNeeded = 0;
    
27.   if (EnumDeviceDrivers(pDrvAddr,sizeof(pDrvAddr),&dwcbNeeded))
    
28.   {
    
29.     for (unsigned int i=0 ; i<(dwcbNeeded/8) ; i++)
    
30.     {
    
31.       LPSTR chDrvName[MAX_PATH];
    
32.       GetDeviceDriverBaseNameA(pDrvAddr[i],(LPSTR)chDrvName,MAX_PATH);
    
33.       dwBaseAddr = pDrvAddr[i];
    
34.       strMod = std::string((char*)chDrvName);
    
35.       printf("%-20s 0x%p\n",strMod.c_str(),dwBaseAddr);
    
36.       break;
    
37.     }
    
38.   }
    
39.   SymSetOptions(SYMOPT_DEFERRED_LOADS);
    
40.   HANDLE hProcess = GetCurrentProcess();
    
41.   SymInitialize(hProcess, 0, FALSE);
    
42.   std::string strSymbolPath = "srv*C:\\Windows\\symbols*[url=http://msdl.microsoft.com/download/symbols]http://msdl.microsoft.com/download/symbols[/url]";
    
43.   std::string strSystemPath = "C:\\Windows\\System32" + strMod;
    
44.   SymSetSearchPath(hProcess, strSymbolPath.c_str());
    
45.   HANDLE hSystemFile = CreateFileA(strSystemPath.c_str(), GENERIC_READ, FILE_SHARE_READ | FILE_SHARE_WRITE,
    
46.     NULL, OPEN_EXISTING, 0, NULL);
    
47.   DWORD dwFileSize = GetFileSize(hSystemFile, NULL);
    
48.   DWORD64  dwBase = SymLoadModule64(hProcess, NULL, strSystemPath.c_str(), NULL, (DWORD64)dwBaseAddr, dwFileSize);
    
49.   printf("正在枚举符号...\n");
    
50.   SymEnumSymbols(hProcess, dwBase, 0, EnumSymCallBack, 0);
    
51.   printf("枚举符号结束...\n");
    
52.   SymUnloadModule64(hProcess, dwBase);
    
53.   SymCleanup(hProcess);
    
54.   system("pause");
    
55.   return 0;
    
56. }
    

复制代码