方法来源于对Sysinternals的procexp的逆向。
在通过kernel的pdb获取未导出的MmSizeOfPagedPoolInBytes和MmMaximumNonPagedPoolInBytes时，procexp执行了如下几个步骤：
1. 获取kernel的映像文件名称
调用IsProcessorFeaturePresent判断PAE是否开启，以确定使用ntoskrnl.exe还是ntkrnlpa.exe。
2. 获取kernel在内存中的基址
调用NtQuerySystemInformation，使用SystemModuleInformation(0x0B)枚举模块，并使用1中获得的文件名查找，确定kernel在内存中的基址。
3. 拼接kernel的完整路径，使用CreateFile(access:GENERIC_READ)打开。
4. 调用SetEnvironmentVariable设置_NT_SYMBOL_PATH为符号文件所在路径。
5. 调用SymInitialize。
6. 调用SymLoadModule64，用到3中得到的kernel文件的句柄。
7. 调用SymGetSymFromName，由IMAGEHLP_SYMBOL获得Address。
8. 调用SymCleanup。
这样，7中所得到Address | 0x80000000就是要找的内核地址了。
————————————————
版权声明：本文为CSDN博主「0902horn」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/xiaoxinjiang/article/details/7013488