Чтение памяти загруженного модуля ядра

Leksey
Какая система? Под WinXP и старше секция INIT полностью выгружается из адресного пространства после загрузки любого модуля ядра. Посмотри tcpdump`ом, какая секция у тебя начинается по смещению 194000 (<адрес падения> - <база ядра>). (Файл из которого загружено ядро - по lm в WinDbg).
Корректный способ дампа ядра - вручную анализировать таблицу секций и дампить всё, кроме INIT, т.к. на невыделенной ядерной памяти не спасет никакой SEH-фрейм.

 

gilg
Я юзал MmIsAddressValid. Вроде спасало

 

n0name
Сто пудов. Но проверять придется адрес в начале кажных 4 кб - не технологично