Доступ к User mode памяти

[ILIS]

Проблема следующая:
Из драйвера я получаю указатель на PEB некоторого процесса(вызывая последовательно ZwOpenProcess, ZwQueryInformationProcess), судя по значению указатель лежит в памяти User mode, функция MmIsAddressValid возвращает FALSE, MmProbeAndLockPages вылетает с эксепшином.
Как мне зарезолвить этот адрес?

[Storage Device]

ZwReadVirtualMemory reads virtual memory in the user mode address range of
another process.

NTSYSAPI NTSTATUS NTAPI ZwReadVirtualMemory(
IN HANDLE ProcessHandle,
IN PVOID BaseAddress,
OUT PVOID Buffer,
IN ULONG BufferLength,
OUT PULONG ReturnLength OPTIONAL);

может она подойдет???

[Krutoy]

Такаяже фигня. Нужно узнать кто обратился к Zw_XXX функции, а для этого нужен PEB, а для этого нужна память процесса...

[Алиса]

подымаю старую тему, т.к. внятного ответа не вижу.

KAPC_STATE ApcState;
KeStackAttachProcess(process/*PEPROCESS*/, &ApcState);

читаем/пишем в адресном пространстве процесса

KeUnstackDetachProcess(&ApcState);

[Ochkarik]

ну да... просто раньше эта функция не документировалась.

PS чет у меня DDK как-то старый что ли... обновлять пора...
только в http://msdn.microsoft.com/en-us/library/ms796194.aspx нашел описание...