从外部进程中查找 Windows x64 中的模块句柄

Question

如何在 Windows x64 中按名称（在另一个进程中）查找模块基地址？

ProcessModuleCollection 仅找到：ntdll.dll wow64.dll wow64win.dll wow64cpu.dll

在哪里可以找到按名称搜索模块基地址的函数示例（适用于 x32 和 x64 Windows 版本）？

Answer 1

调用Process.Modules 返回的ProcessModuleCollection 实例包含您需要的信息。前提是两个进程具有相同的位数。因此，如果目标进程是 32 位进程，请确保您的进程也是 32 位进程。如果目标进程是64位进程，那么请确保你的进程是64位进程。

从您在问题中包含的输出可以清楚地看出，产生该输出的场景是：

1. 64 位操作系统。
2. 您的代码在 64 位进程中执行。
3. 目标进程是 32 位进程。

之所以只列举那少数几个模块，是因为（推测）它们是在 WOW64 模拟器下运行的 32 位进程中包含的 64 位模块，以及可执行模块。

您可能会想，您可以使用 Windows API 来枚举进程中具有不同位数的模块。但你不能。尝试使用 CreateToolhelp32Snapshot、Module32First 和 Module32Next 会产生与使用 Process.Modules 的 C# 代码相同的结果。这一点也不奇怪。在 Win32 中实现的 .net 将调用为此任务设计的本机 Win32 API，这是完全合理的。

您的解决方案是确保对 Process.Modules 的调用是从 32 位进程发出的。如果您需要同时定位 32 位和 64 位进程，则需要使用一些不同位数的辅助进程。

更新

Ben Voigt 在调试帮助 API 中将我指向 EnumerateLoadedModules64。我承认我不知道这一点。但是，它似乎确实具有与工具帮助 API 相同的位数限制。

最后还有EnumProcessModulesEx，它可以从64位进程中枚举出32位模块。如果您传递LIST_MODULES_32BIT，那么您确实可以从 64 位调用进程中提取加载到外部 32 位进程中的 32 位模块。

Answer 2

如果您只打算使用此代码针对 32 位进程，则以下内容应该适合您：

    /// <summary>
    /// Gets the base address of a process' module with the specified name.
    /// </summary>
    /// <param name="moduleName">Name of the module.</param>
    /// <returns>The module BaseAddress if successful; otherwise, IntPtr.Zero.</returns>
    public IntPtr GetModuleBaseAddress(string moduleName)
    {
        var module = Memory.Process.Modules.Cast<ProcessModule>().FirstOrDefault(m => m.ModuleName == moduleName);

        return module != null ? module.BaseAddress : IntPtr.Zero;
    }

其中 Memory.Process 只是一个 System.Diagnostics.Process 对象。我不确定它是否适用于实际的 x64 进程，但只要您针对 32 位进程（即使在 64 位平台上），此代码就可以很好地获取进程模块的基地址。

您需要记住的是，每当您枚举ProcessModules 时，您将只能获得被调用方架构中的模型（x86 或 x64）。如果您正在运行一个 x86 进程并且在另一个进程上调用 Process.Modules，您将只能看到该进程的 x86 模块。这同样适用于 x64。您要么需要找到解决此问题的方法，要么针对 x86 和 x64 编译您的项目并为每个应用程序使用正确的项目。

编辑：我在GameDeception 上找到了以下本机代码，可能对您有用：

unsigned long ProcessDevice::getModuleAddress(DWORD proc, const char *modname)
{
    HANDLE snapshot = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, proc);

    if( snapshot == INVALID_HANDLE_VALUE )
    {
        return 0;
    }

    MODULEENTRY32 mod;
    mod.dwSize = sizeof(MODULEENTRY32);

    if( Module32First(snapshot, &mod) )
    {
        if( strcmp(mod.szModule, modname) == 0 )
            return (unsigned long)mod.modBaseAddr;

        while( Module32Next(snapshot, &mod) )
        {
            if( strcmp(mod.szModule, modname) == 0 )
                return (unsigned long)mod.modBaseAddr;
        }

        /* Failed to find the module */
        return 0;
    }
    else
    {
        /* Failed to read any module info */
        return 0;
    }
}