Получение номера функции SDT в user/kernel mode

Правильно работает в юзер мод:

Код (Text):

1. HMODULE hNtDllModule = GetModuleHandle(L"ntdll.dll");
2.  
3. PDWORD pdwServiceNumber = (PDWORD)((DWORD)GetProcAddress(hNtDllModule, "NtOpenProcess") + 1);
4.  
5. // *pdwServiceNumber; // 122

А вот написал аналог для драйвера:

Код (Text):

1. #define DWORD unsigned long
2. #define PDWORD DWORD *
3. int sdt_number = *(PDWORD) ((DWORD) NtOpenProcess + 1); // 196

Что-то не то. Помогите, пожалуйста.

 

NtOpenProcess - указывает не на зашлушку в ntdll.dll а на реальный код.

 

Решил-таки захардкодить.
http://www.metasploit.com/users/opcode/syscalls.html

 

XPiS

Замени на ZwOpenProcess

 

gilg
спасибо