获取ntkrnlpa.exe基地址

获取内核摸块的地址,在一般,二般,三般的情况下,你可能会遇到下面的情况
   1 ZwQuerySystemInformation被HOOK
   2 断了链
   3 擦了"MZ"
   没有第一个模块ntkrnlpa.exe.很多anti-rootkit都不能正确运行吧

但方法还是有的,思路
   ntkrnlpa.exe基地址 + XXXAPI在PE文件上的偏移 = XXXAPI在内存中的地址

   SO:
   ntkrnlpa.exe基地址 = XXXAPI在内存中的地址 - XXXAPI在PE文件上的偏移;

   XXXAPI在内存中的地址????那么多和API....总有一个是正常的!!!
   这样就可以得到正确的ntkrnlpa.exe基地址

   还有.....顺便说下....微点的进程不用恢复HOOK就可以结束了........