windows-7 - 如何从内核模式调用 NTDLL.DLL 函数 (x64, WIN7)

Question

我需要从内核模式进程中调用 ntdll.dll 函数（例如 ZwCreateThread，不是由内核导出的）。但 ntdll.dll 它是用户模式模块。我该怎么做？

Answer 1

一般来说这是不可能的。DLL 不能在内核模式下使用。

您必须搜索该函数的内核模式等效项。对于 ZwCreateThread，它是 PsCreateSystemThread。