來源于od，并沒有看到有NtCreateFile

ntdll ?zwCreateFile

-------------------------

7C92D090 >/$ ?B8 25000000 ? mov eax,0x25
7C92D095 ?|. ?BA 0003FE7F ? mov edx,0x7FFE0300
7C92D09A ?|. ?FF12 ? ? ? ? ?call dword ptr ds:[edx] ? ? ? ? ? ? ? ? ?; ?ntdll.7C99B500
7C92D09C ?\. ?C2 2C00 ? ? ? retn 0x2C

來源于windgb

nt!ZwCreateFile:

---------------------
80501010 b825000000 ? ? ?mov ? ? eax,25h
80501015 8d542404 ? ? ? ?lea ? ? edx,[esp+4]
80501019 9c ? ? ? ? ? ? ?pushfd
8050101a 6a08 ? ? ? ? ? ?push ? ?8
8050101c e830140400 ? ? ?call ? ?nt!KiSystemService (80542451)
80501021 c22c00 ? ? ? ? ?ret ? ? 2Ch

但是用peiD查看 NTQuerySystemInformation 和 ZwQuerySystemInformation 函數地址不一樣，且函數不一樣。

NtCreateFile

------------------------------------
7C92D020: B81E000000 ? ? ? ? ? ? ? MOV EAX, 0000001EH

7C92D025: BA0003FE7F ? ? ? ? ? ? ? MOV EDX, 7FFE0300H

7C92D02A: FF12 ? ? ? ? ? ? ? ? ? ? CALL [EDX]

7C92D02C: C20400 ? ? ? ? ? ? ? ? ? RETN 0004H

ZwCreateFile
7C92D090: B825000000 ? ? ? ? ? ? ? MOV EAX, 00000025H

7C92D095: BA0003FE7F ? ? ? ? ? ? ? MOV EDX, 7FFE0300H

7C92D09A: FF12 ? ? ? ? ? ? ? ? ? ? CALL [EDX]

7C92D09C: C22C00 ? ? ? ? ? ? ? ? ? RETN 002CH

總結

以上是生活随笔為你收集整理的ntdll中的zw函数和krl里的zw函数中有相同的ssdt服务号的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。