相当于在系统内存上工作的 ZwQueryVirtualMemory？

【问题标题】：Equivalent to ZwQueryVirtualMemory that works on system memory?相当于在系统内存上工作的 ZwQueryVirtualMemory？
【发布时间】：2022-01-09 21:24:10
【问题描述】：

ZwQueryVirtualMemory 报告进程地址空间中的虚拟内存。我想做同样的事情，但是对于系统空间中的分页内存。是否有处理系统空间而不是进程空间的等效函数？

【问题讨论】：

没有等价物。最好问问你真正需要什么
我需要找到加载的内核驱动程序的总大小，以便在不导致页面错误错误检查的情况下转储整个内容
逐节图像标题并逐节转储
tysm 我现在就做

标签： windows kernel

【解决方案1】：

您可以使用 ZwQuerySystemInformation 和 SystemModuleInformation 来获取所有正在运行的驱动程序。然后你就可以找到你想要的入口，得到驱动的基数和大小。如果你想正确地做到这一点，你可以只使用上述相同的方法或使用 PsLoadedModuleList 获取驱动程序的基础来获取目标驱动程序的基础，然后只需使用标题手动遍历这些部分。

还有一个提示，如果你要复制它来转储它，请使用 MmCopyMemory。

【讨论】：