외부 프로세스에서 Windows x64의 모듈 핸들 찾기

Question

Windows x64에서 이름 (다른 프로세스에서)을 기준으로 모듈 기본 주소를 찾는 방법은 무엇입니까?

ProcessModuleCollection은 발견 만 : NTDLL.DLL wow64.dll wow64win.dll wow64cpu.dll (X32 및 x64 Windows 버전에서 작동) 이름으로 검색 모듈의 기본 빨간색 깜박임에 대한 기능의 예를 찾을 수 있습니다

? 당신은이 코드를 32 비트 프로세스를 대상으로려고하는 경우에

Answer 1

Process.Modules를 호출하여 반환 된 ProcessModuleCollection 인스턴스는 당신이 필요로하는 정보를 가지고 : 내가 당신에게 유용 할 수 있습니다 GameDeception에 다음과 같은 네이티브 코드를 발견했습니다. 두 프로세스가 동일한 비트를 제공한다면 제공됩니다. 따라서 대상 프로세스가 32 비트 프로세스 인 경우 프로세스가 32 비트 프로세스인지 확인하십시오. 대상 프로세스가 64 비트 프로세스 인 경우 프로세스가 64 비트 프로세스인지 확인하십시오.

1. 64 비트 OS : 당신이 질문에 포함 출력에서 ​​

   는 그 출력을 발생하는 시나리오임을 알 수있다.

2. 코드가 64 비트 프로세스로 실행됩니다.
3. 대상 프로세스는 32 비트 프로세스입니다.

만 실행 모듈과 같이, 모듈들 소수들이 WOW64 에뮬레이터에서 실행하는 32 비트 프로세스에 포함 된 64 개 비트 모듈 있음 (아마도)는 열거 이유.

Windows API를 사용하여 비트율이 다른 프로세스의 모듈을 열거 할 수 있다고 생각할 수도 있습니다. 그러나 당신은 할 수 없습니다. CreateToolhelp32Snapshot, Module32First 및 Module32Next을 사용하면 Process.Modules을 사용하는 C# 코드와 동일한 결과가 나타납니다. 그리고 그것은 전혀 놀라운 것이 아닙니다. Win32에서 구현 된 .net이이 작업을 위해 설계된 기본 Win32 API를 호출한다는 것은 완벽합니다.

해결 방법은 Process.Modules에 대한 호출이 32 비트 프로세스에서 이루어 졌는지 확인하는 것입니다. 32 비트 및 64 비트 프로세스 모두를 대상으로 할 수 있어야하는 경우에는 서로 다른 비트 수의 일부 도우미 프로세스를 사용해야합니다.

업데이트

벤 보이트는 디버그 도움말 API에서 EnumerateLoadedModules64에 저를 가리 킵니다. 나는 이것을 깨닫지 못함을 고백한다. 그러나 도구 도움말 API와 동일한 비트 한계가있는 것 같습니다.

마지막으로, EnumProcessModulesEx은 64 비트 프로세스에서 32 비트 모듈을 열거 할 수 있습니다. LIST_MODULES_32BIT을 전달하면 실제로 64 비트 호출 프로세스에서 외부 32 비트 프로세스로로드 된 32 비트 모듈을 추출 할 수 있습니다.

Answer 2

, 다음이 당신을 위해 잘 작동합니다 :

/// <summary> 
    /// Gets the base address of a process' module with the specified name. 
    /// </summary> 
    /// <param name="moduleName">Name of the module.</param> 
    /// <returns>The module BaseAddress if successful; otherwise, IntPtr.Zero.</returns> 
    public IntPtr GetModuleBaseAddress(string moduleName) 
    { 
     var module = Memory.Process.Modules.Cast<ProcessModule>().FirstOrDefault(m => m.ModuleName == moduleName); 

     return module != null ? module.BaseAddress : IntPtr.Zero; 
    } 

을 Memory.Process 그냥 System.Diagnostics.Process 객체입니다. 실제 x64 프로세스에서 작동하는지는 확실치 않지만 32 비트 프로세스 (64 비트 플랫폼에서도)를 목표로 삼고있는 한이 코드는 프로세스 모듈의 기본 주소를 얻을 수 있습니다.

염두에 두어야 할 점은 ProcessModules을 열거 할 때마다 호출 수신자 아키텍처 (x86 또는 x64)에있는 모델 만 가져올 수 있다는 것입니다. x86 프로세스를 실행 중이고 다른 프로세스에서 Process.Modules을 호출하면 해당 프로세스의 x86 모듈 만 표시됩니다. x64에도 동일하게 적용됩니다. 이 문제를 해결하거나 x86 및 x64 용으로 프로젝트를 컴파일하고 각 응용 프로그램에 적합한 방법을 사용해야합니다.

편집 :

unsigned long ProcessDevice::getModuleAddress(DWORD proc, const char *modname) 
{ 
    HANDLE snapshot = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, proc); 

    if(snapshot == INVALID_HANDLE_VALUE) 
    { 
     return 0; 
    } 

    MODULEENTRY32 mod; 
    mod.dwSize = sizeof(MODULEENTRY32); 

    if(Module32First(snapshot, &mod)) 
    { 
     if(strcmp(mod.szModule, modname) == 0) 
      return (unsigned long)mod.modBaseAddr; 

     while(Module32Next(snapshot, &mod)) 
     { 
      if(strcmp(mod.szModule, modname) == 0) 
       return (unsigned long)mod.modBaseAddr; 
     } 

     /* Failed to find the module */ 
     return 0; 
    } 
    else 
    { 
     /* Failed to read any module info */ 
     return 0; 
    } 
}