Windows内核模式驱动地址空间加载DLL：求LoadLibraryA等效内核API

内核模式中不存在与用户态LoadLibraryA直接对应的API，这是因为内核空间的模块（如ntoskrnl.exe、hal.dll及其他内核驱动）均由系统负责提前加载，驱动程序无法像用户态进程那样动态加载任意DLL。针对你要获取NtAlpcCreatePort地址的需求，可直接利用你找到的MmGetSystemRoutineAddress函数实现——因为NtAlpcCreatePort属于内核导出的系统例程，无需额外加载模块。

等效代码实现 #

#include <ntddk.h>

// 定义NtAlpcCreatePort的函数指针类型（匹配官方函数签名）
typedef NTSTATUS(*PNtAlpcCreatePort)(
    PHANDLE PortHandle,
    POBJECT_ATTRIBUTES ObjectAttributes,
    PSECURITY_QUALITY_OF_SERVICE SecurityQos,
    ULONG MaxMessageLength,
    ULONG MaxPoolUsage,
    ULONG MaxConnections,
    PULONG ConnectionCount,
    PVOID PortContext
);

PNtAlpcCreatePort NtAlpcCreatePort = NULL;

VOID DriverUnload(_In_ PDRIVER_OBJECT DriverObject) {
    // 驱动卸载逻辑，此处省略
}

NTSTATUS DriverEntry(_In_ PDRIVER_OBJECT DriverObject, _In_ PUNICODE_STRING RegistryPath) {
    UNICODE_STRING routineName;
    
    // 初始化要查找的函数名（内核态需使用Unicode字符串）
    RtlInitUnicodeString(&routineName, L"NtAlpcCreatePort");
    
    // 获取目标函数地址
    NtAlpcCreatePort = (PNtAlpcCreatePort)MmGetSystemRoutineAddress(&routineName);
    
    if (NtAlpcCreatePort != NULL) {
        DbgPrint("成功获取NtAlpcCreatePort地址: 0x%p\n", NtAlpcCreatePort);
        // 此处可调用目标函数
    } else {
        DbgPrint("获取NtAlpcCreatePort地址失败\n");
    }
    
    DriverObject->DriverUnload = DriverUnload;
    return STATUS_SUCCESS;
}

关键说明 #

• MmGetSystemRoutineAddress仅能查找ntoskrnl.exe、hal.dll或系统已加载的核心驱动导出的函数，无法获取未被系统加载的模块中的函数。
• 如果需要引用第三方内核驱动的导出函数，需手动枚举系统已加载的内核模块（通过ZwQuerySystemInformation的SystemModuleInformation类型），找到目标模块基地址后自行解析PE导出表获取函数地址——内核态没有通用的非核心模块GetProcAddress等效函数。
• 内核态操作需严格遵循Windows驱动开发规范，随意加载未签名模块会触发系统安全机制（如HVCI），导致系统崩溃或驱动加载失败。

内容的提问来源于stack exchange，提问作者Shakti Singh