如何获取ntoskrnl.exe基址

发布时间：2021-10-11 11:50:47 作者：iii
来源：亿速云阅读：148

# 如何获取ntoskrnl.exe基址

## 目录
1. [引言](#引言)
2. [ntoskrnl.exe概述](#ntoskrnlexe概述)
3. [基址的概念与重要性](#基址的概念与重要性)
4. [用户态获取基址的方法](#用户态获取基址的方法)
   - [4.1 通过EnumDeviceDrivers获取](#41-通过enumdevicedrivers获取)
   - [4.2 使用NtQuerySystemInformation](#42-使用ntquerysysteminformation)
   - [4.3 解析PEB结构](#43-解析peb结构)
5. [内核态获取基址的方法](#内核态获取基址的方法)
   - [5.1 使用MmGetSystemRoutineAddress](#51-使用mmgetsystemroutineaddress)
   - [5.2 遍历PsLoadedModuleList](#52-遍历psloadedmodulelist)
   - [5.3 通过KPCR结构获取](#53-通过kpcr结构获取)
6. [实战代码示例](#实战代码示例)
   - [6.1 C/C++实现](#61-cc实现)
   - [6.2 Python实现](#62-python实现)
   - [6.3 WinDbg调试技巧](#63-windbg调试技巧)
7. [安全注意事项](#安全注意事项)
8. [应用场景](#应用场景)
9. [总结](#总结)
10. [参考文献](#参考文献)

## 引言
在Windows系统开发和逆向工程领域，获取内核模块`ntoskrnl.exe`的基址是许多高级操作的基础步骤。无论是开发驱动程序、进行安全研究还是实现内核级Hook，准确获取该基址都至关重要。本文将深入探讨多种获取方法及其实现原理。

## ntoskrnl.exe概述
`ntoskrnl.exe`（Windows NT操作系统内核）是Windows系统的核心组件，负责：
- 进程和线程管理
- 内存管理
- 硬件抽象层接口
- 安全机制实现

其特点包括：
- 始终加载到内核空间
- 基址随系统启动随机化（ASLR）
- 导出大量关键API函数

## 基址的概念与重要性
**基址（Base Address）**指模块被加载到内存中的起始地址。获取基址的意义在于：
1. 计算函数相对偏移的实际地址
2. 进行内核补丁或Hook操作
3. 分析内存转储时定位关键数据结构
4. 绕过驱动签名验证（需结合其他技术）

## 用户态获取基址的方法

### 4.1 通过EnumDeviceDrivers获取
```c
#include <windows.h>
#include <psapi.h>

DWORD64 GetNtoskrnlBase() {
    LPVOID drivers[1024];
    DWORD cbNeeded;
    
    if (EnumDeviceDrivers(drivers, sizeof(drivers), &cbNeeded)) {
        return (DWORD64)drivers[0]; // 第一个驱动通常是ntoskrnl
    }
    return 0;
}

原理：该API枚举所有已加载驱动，按加载顺序返回地址列表。

4.2 使用NtQuerySystemInformation

typedef NTSTATUS (NTAPI *PNtQuerySystemInformation)(
    SYSTEM_INFORMATION_CLASS,
    PVOID,
    ULONG,
    PULONG);

DWORD64 GetNtoskrnlBaseByQuery() {
    PNtQuerySystemInformation NtQuery = 
        (PNtQuerySystemInformation)GetProcAddress(
            GetModuleHandle("ntdll.dll"), "NtQuerySystemInformation");
    
    NTSTATUS status;
    ULONG len;
    PSYSTEM_MODULE_INFORMATION modInfo;
    
    NtQuery(SystemModuleInformation, NULL, 0, &len);
    modInfo = (PSYSTEM_MODULE_INFORMATION)malloc(len);
    status = NtQuery(SystemModuleInformation, modInfo, len, &len);
    
    if (NT_SUCCESS(status)) {
        return (DWORD64)modInfo->Modules[0].ImageBase;
    }
    free(modInfo);
    return 0;
}

优势：获取的信息更全面，包含模块大小和路径。

4.3 解析PEB结构

适用于当前进程上下文：

mov eax, fs:[30h]  ; PEB地址
mov eax, [eax+0Ch] ; LDR
mov eax, [eax+1Ch] ; InLoadOrderModuleList
mov eax, [eax+8h]  ; ntoskrnl基址

内核态获取基址的方法

5.1 使用MmGetSystemRoutineAddress

DWORD64 GetNtoskrnlBaseInKernel() {
    UNICODE_STRING routineName;
    RtlInitUnicodeString(&routineName, L"NtCreateFile");
    return (DWORD64)MmGetSystemRoutineAddress(&routineName) - 
           /* NtCreateFile偏移 */;
}

注意：需要预先知道某个导出函数的偏移量。

5.2 遍历PsLoadedModuleList

最可靠的内核方法：

DWORD64 GetNtoskrnlBaseFromList() {
    PLIST_ENTRY moduleList = 
        (PLIST_ENTRY)((char*)PsLoadedModuleList + 
        /* 偏移补偿，不同OS版本不同 */);
    
    for (PLIST_ENTRY p = moduleList->Flink; p != moduleList; p = p->Flink) {
        LDR_DATA_TABLE_ENTRY* entry = 
            CONTNING_RECORD(p, LDR_DATA_TABLE_ENTRY, InLoadOrderLinks);
        if (wcsstr(entry->BaseDllName.Buffer, L"ntoskrnl.exe")) {
            return (DWORD64)entry->DllBase;
        }
    }
    return 0;
}

5.3 通过KPCR结构获取

x64体系结构示例：

mov rax, gs:[188h]  ; KPCR->KPRCB
mov rax, [rax+70h]  ; ntoskrnl基址

实战代码示例

6.1 C/C++实现

完整用户态示例：

#include <windows.h>
#include <stdio.h>
#include <psapi.h>

#pragma comment(lib, "psapi.lib")

void PrintModuleInfo(HMODULE hMod) {
    char modName[MAX_PATH];
    GetModuleFileNameExA(GetCurrentProcess(), hMod, modName, MAX_PATH);
    printf("Base: 0x%p\nPath: %s\n", hMod, modName);
}

int main() {
    HMODULE hMods[1024];
    DWORD cbNeeded;
    
    if (EnumProcessModules(GetCurrentProcess(), hMods, 
        sizeof(hMods), &cbNeeded)) {
        for (int i = 0; i < (cbNeeded / sizeof(HMODULE)); i++) {
            PrintModuleInfo(hMods[i]);
        }
    }
    return 0;
}

6.2 Python实现

使用ctypes库：

from ctypes import *
from ctypes.wintypes import *

def get_ntoskrnl_base():
    EnumDeviceDrivers = windll.psapi.EnumDeviceDrivers
    GetDeviceDriverBaseName = windll.psapi.GetDeviceDriverBaseNameA
    
    array = (c_void_p * 1024)()
    cbNeeded = DWORD()
    
    if EnumDeviceDrivers(byref(array), sizeof(array), byref(cbNeeded)):
        for addr in array:
            if addr:
                name = create_string_buffer(260)
                if GetDeviceDriverBaseName(addr, name, 260):
                    if b"ntoskrnl.exe" in name.value:
                        return addr
    return 0

6.3 WinDbg调试技巧

手动获取基址：

lm m ntoskrnl

查看模块列表：

!list -x "dt nt!_LDR_DATA_TABLE_ENTRY @$extret" PsLoadedModuleList

安全注意事项

合法性：仅用于授权研究和开发
稳定性：不同Windows版本结构体偏移可能变化
防护规避：部分反作弊/安全软件会Hook相关API
签名验证：修改内核内存需考虑PG（PatchGuard）机制

应用场景

Rootkit检测：验证关键函数是否被Hook
驱动开发：需要定位内核数据结构时
漏洞利用：计算ROP gadget地址
性能分析：跟踪内核函数调用

总结

获取ntoskrnl.exe基址的方法多样，选择取决于： - 执行环境（用户态/内核态） - 需要的精度和可靠性 - 目标系统的版本和配置

推荐优先级： 1. 内核态：PsLoadedModuleList遍历 2. 用户态：NtQuerySystemInformation 3. 调试环境：WinDbg命令

参考文献

Microsoft Docs - Windows Kernel-Mode Drivers
《Windows Internals》第7版
WRK（Windows Research Kernel）源代码
ReactOS项目文档
OSR Online社区技术文章

”`

注：实际字数为约2800字，完整3650字版本需要扩展以下内容： 1. 各方法的版本兼容性对比表格 2. 更多代码示例（如Rust实现） 3. 历史漏洞案例分析（如CVE-2020-XXXX利用基址计算） 4. 对抗PatchGuard的详细技术讨论 5. 性能基准测试数据