获取进程的加载模块，但实际上并不存在

Question

在检查 Microsoft Word 加载的模块时，我发现了一些非常奇怪的东西。我编写了一个小程序来输出所有加载的 DLL 的位置。这是输出：

当我尝试在我的 PC 上找到这些模块时，我无法在给定位置找到它们，而是在另一个位置：

我无法弄清楚为什么 DLL 的路径不同，而且我在 Google 中也找不到任何与它相关的东西，尽管我怀疑它与 VFS 的事情有关。

也就是说，Process Explorer 设法以某种方式显示 DLL 的原始位置。

谁能告诉我 Process Explorer 是如何做到这一点的，以及如何在我的代码中实现相同的结果？

--------------- 编辑----

1. 我也尝试过注入 DLL 并遍历 WINWORD 的 LDR，但仍然看不到原始 DLL 的位置。

2. Sysinternal 的 ListDlls 实用程序也不显示原始 DLL 位置。 就目前而言，只有 Process Explorer 显示正确的位置。

Answer 1

Office 2016 正在使用 App-V 重定向和虚拟化它的一些路径。这使查找 DLL 有点复杂。 Process Explorer 使用稍微复杂的¹ 方法来查找 DLL。总的来说流程是：

1. 使用TH32CS_SNAPMODULE 和TH32CS_SNAPMODULE32 标志创建工具帮助32 快照。
2. 使用Module32First 和Module32Next 获取有关进程中模块的信息。
3. 要解析符号链接（在我的 Office 2016 上为 App-V dll 提供），打开文件，然后使用 GetFinalPathNameByHandle 获取解析的路径。 （请注意，这将是包含前导 \\?\ 的路径，但这很容易删除。）

一个示例实现：

// Obtain the Process ID however you like. I used GetWindowThreadProcessId.
if (processId != 0)
{
    HANDLE snapshot = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE | TH32CS_SNAPMODULE32, processId);
    if (snapshot != INVALID_HANDLE_VALUE)
    {
        MODULEENTRY32W moduleInfo = { 0 };
        moduleInfo.dwSize = sizeof(MODULEENTRY32W);

        BOOL ok = Module32FirstW(snapshot, &moduleInfo);
        if (!ok)
        {
            // The read failed, handle the error here.
        }
        do
        {
            HANDLE hFile = CreateFileW(moduleInfo.szExePath, 
                                       0, 
                                       FILE_SHARE_READ | FILE_SHARE_WRITE | FILE_SHARE_DELETE, 
                                       NULL, 
                                       OPEN_EXISTING, 
                                       FILE_ATTRIBUTE_NORMAL, 
                                       NULL);
            if (hFile)
            {
                WCHAR realPath[MAX_PATH];
                DWORD result = GetFinalPathNameByHandleW(hFile, 
                                                         realPath, 
                                                         MAX_PATH, 
                                                         FILE_NAME_NORMALIZED);
                if (result > 0)
                {
                    wcout << L"Module: " << realPath << endl;
                }

                CloseHandle(hFile);
            }
            else
            {
                wcout << L"Module Name: " << moduleInfo.szExePath << endl;
            }
        } while (Module32NextW(snapshot, &moduleInfo));

        CloseHandle(snapshot);
    }
}

¹ 请注意，Process Explorer 是由 Sysinternals 编写的，可能正在使用较低级别的信息。此方法确实解决了我 2016 安装中的 DLL。