如何从内核模式调用NTDLL.DLL函数（x64，WIN7）

Question

我需要从内核模式进程调用ntdll.dll函数（例如ZwCreateThread，不由内核导出）。但是ntdll.dll是用户模式模块。我怎么能这样做？

Answer 1

总的来说，这是不可能的。 DLL不能在内核模式下使用。

您必须搜索该函数的内核模式等效项。对于ZwCreateThread，它是PsCreateSystemThread。