分页池–顾名思义,就是可以分页(分入和分出)的了。DispatchXxx)被调用时所处的IRQL等级。DISPATCH_LEVEL。hal.dll等,还有设备驱动程序),然后去找ntoskrnl.exe和ntice.sys。ZwQuerySystemInformation的调用使我们获得STATUS_INFO_LENGTH_MISMATCH(这是正常,因为buffer的尺寸为零。p是为了ZwQuerySystemInformation函数的正常执行。就把第一个参数PagedPool相应地改成NonPagedPool。word)包含模块的数量,这些模块紧跟在SYSTEM_MODULE_INFORMATION队列的后面。dwNumModules中。100)*2)是足够的。SYSTEM_MODULE_INFORMATIONesi跳过DWORD(保存了模块数量)的大小,现在esi就指向了第一个SYSTEM_MODULE_INFORMATION结构。如strcmp、strcpy和strlen等。然后将字符串加到buffer去。(细节参见macros\Strings.mac)。