1.lm命令
lm m s*
lm
lmsm
2.看堆栈调用
kb
3.断点(有符号)
bp HelloDDK!DriverEntry
4.断点(无符号)
sxe ld HelloDDK
这样会断在nt!DebugService2+0x10的位置。
然后按三次Shift+F11，会跳到nt!IopLoadDriver+0x370
在IopLoadDriver中函数中寻找，会经过nt!ObCreateObject
会多次调用call nt!RtlImageNtHeader
运行到nt!IopLoadDriver+0x66c，就是DriverEntry的入口。