Например из дизасма очевидно что для хранения callbacks используется массив LsaPolicyChangeNotificationList, который состоит из 8 (под w7 & w8 - 9) структур
struct PolicyChangeNotification
{
struct _LIST_ENTRY List;
ULONG Count;
};List соотв-но хранит уже непосредственно структуры, описывающие callback - примерно такие:
struct PolicyChangeNotification_item
{
/* Win32 Win64 */
/* 0x0 0x0 */ struct _LIST_ENTRY ListLink;
/* 0x8 0x10 */ PBYTE function_cb;
/* 0xC 0x18 */ PBYTE unk1;
/* 0x10 0x20 */ PBYTE unk2;
/* 0x14 0x28 */ PBYTE unk3;
};По моему навигация по этим структурам представляет собой тривиальную задачу, так же как их нахождение
Результаты на моей рабочей машине например
