32位程序获取32/64位进程文件地址通用方法

最新推荐文章于 2023-11-25 21:26:27 发布
最新推荐文章于 2023-11-25 21:26:27 发布
阅读量851 收藏 1
点赞数
分类专栏： 计算机 文章标签： 计算机
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/pythonxxoo/article/details/122767695
版权
本文介绍了在32位程序中获取32/64位进程文件地址的通用方法，通过使用GetProcessImageFileNameA API和QueryDosDeviceA进行转换。这种方法适用于包括Windows XP在内的多种系统，并且避免了使用复杂汇编的wow64方法。
摘要由CSDN通过智能技术生成

Python微信订餐小程序课程视频

https://edu.csdn.net/course/detail/36074

Python实战量化交易理财系统

https://edu.csdn.net/course/detail/35475

32位程序获取32/64位进程文件地址通用方法

引子

一般来说,限于32位程序GetModuleFileNameEx对于64位程序来说是不管用的,我们如果需要在32位程序获得64位进程的运行目录可能需要用到wow64或者是QueryFullProcessImageName。

但是

前者虽然通用，但是实现起来过于复杂，还需要用到汇编，后者

Minimum supported client Windows Vista [desktop apps only]
Minimum supported server Windows Server 2008 [desktop apps only]

上为ms docs给出的限制条件，显然无法支持到诸如XP之类的系统

显然这个API不是通用的，那么如果我们需要一个通用且方便的

最低0.47元/天 解锁文章
pythonxxoo
关注
专栏目录
32位程序访问64位Windows操作系统存放64位系统文件的 \Windows\System32 目录时将遇到重定向目录问题
henter的专栏
03-06 2833
    为了检测 exe、dll、ocx 等类型的文件是 32 位还是 64 位，网上有文章推荐使用 EXE 64bit Detector 之类的工具软件。EXE 64bit Detector 的官网是：http://securityxploded.com/exe-64bit-detector.php ，使用 EXE 64bit Detector 查看一般普通目录中文件的位数是有效的，但是如果用它...
32位进程枚举64位进程模块信息
06-02
资源介绍：。' WOW64的32位程序其实拥有64位程序的全部功能,包括32注入64位、枚举64位进程模块、Hook64位模块、调用64位API等等等等....' 因为WOW64程序不是完全的虚拟化的，是伪虚拟化，本身就是一个64位进程,只是自己以为是32位程序而已. 所以Wow64进程 里面。' 既有 64位环境结构,又有32位环境结构, 使用api  NtWow64QueryInformationProcess64 可以获取 进程的64位PEB结构地址,。' 使用api  NtWow64ReadVirtualMemory64 可以读取进程的64位内存地址的数据. 通过PEB64结构进行遍历进程的64位模块!。资源作者：。@iokey。资源下载：。Tags：64位进程。
易语言-32位进程枚举64位进程模块信息
06-29
' WOW64的32位程序其实拥有64位程序的全部功能,包括32注入64位、枚举64位进程模块、Hook64位模块、调用64位API等等等等.... ' 因为WOW64程序不是完全的虚拟化的，是伪虚拟化，本身就是一个64位进程,只是自己以为是32位程序而已. 所以Wow64进程 里面 ' 既有 64位环境结构,又有32位环境结构, 使用api  NtWow64QueryInformationProcess64 可以获取 进程的64位PEB结构地址, ' 使用api  NtWow64ReadVirtualMemory64 可以读取进程的64位内存地址的数据. 通过PEB64结构进行遍历进程的64位模块!
[学习记录] 32位程序调用64位API NtQuerySystemInformation 遍历内核模块
weixin_43511498的博客
11-02 433
32位程序调用64位API NtQuerySystemInformation 遍历内核模块,纯粹记录一下,免得日后记不住。
32位程序读取64位进程内存
htpidk的博客
10-09 1540
//第一步：//定義函數參數結構 typedef NTSTATUS(NTAPI *LPFN_NTWOW64READVIRTUALMEMORY64)( IN HANDLE ProcessHandle, IN ULONG64 BaseAddress, OUT PVOID BufferData, IN ULONG64 BufferLength, OUT PULONG64 ReturnLength OPTIONAL); typedef NTSTATUS(NTAPI *LPFN_NTWOW64WR
易语言-eWOW64Ext v1.21 - 加载任意 32/64 模块|动态调用|64 位汇编|64 位进程读写
06-25
在 64 位操作系统中，不管你的程序是 32 还是 64 位的，其实都存在两个地址空间，正常情况下 32 位程序访问的自然是 32 位的地址空间，而 64 位程序访问其 64 位地址空间。 但是这两个空间是同时存在且可以切换的，...
eWOW64Ext v1.1 - 加载任意 32/64 模块|64 位汇编及进程读写-易语言
06-12
在 64 位操作系统中，不管你的程序是 32 还是 64 位的，其实都存在两个地址空间，正常情况下 32 位程序访问的自然是 32 位的地址空间，而 64 位程序访问其 64 位地址空间。 但是这两个空间是同时存在且可以切换的，...
32位与64位程序间通信，通过共享内存实现
04-15
4. **64位程序接入**：在64位程序中，同样调用`CreateFileMapping()`，但这次传入的是一个空的文件名（由32位程序创建的内存映射文件的名称），以及先前32位程序创建的内存映射文件的访问权限。然后使用`...
eWOW64Ext v1.2 - 加载任意 32/64 模块|动态调用|64 位汇编|64 位进程读写-易语言
06-12
在 64 位操作系统中，不管你的程序是 32 还是 64 位的，其实都存在两个地址空间，正常情况下 32 位程序访问的自然是 32 位的地址空间，而 64 位程序访问其 64 位地址空间。 但是这两个空间是同时存在且可以切换的，...
e语言-32位进程枚举64位进程模块信息
08-23
资源介绍：' WOW64的32位程序其实拥有64位程序的全部功能,包括32注入64位、枚举64位进程模块、Hook64位模块、调用64位API等等等等....' 因为WOW64程序不是完全的虚拟化的，是伪虚拟化，本身就是一个64位进程,只是自己以为是32位程序而已. 所以Wow64进程 里面' 既有 64位环境结构,又有32位环境结构, 使用api  NtWow64QueryInformationProcess64 可以获取 进程的64位PEB结构地址,' 使用api  NtWow64ReadVirtualMemory64 可以读取进程的64位内存地址的数据. 通过PEB64结构进行遍历进程的64位模块!资源作者：
Windows进程模块查看器-支持32位和64位进程
05-06
本工具通过读取进程PEB数据遍历进程所加载的模块信息，包括模块名，模块路径，模块基地址等信息，支持64位和32位进程。
通过进程ID获取基地址
weixin_34221775的博客
01-08 492
下面代码是通过进程ID来获取进程的基地址，创建一个进程快照后，读取进程模块，一般情况下第一个模块就是进程的基地址，下面的程序通过模块的字符串匹配来找到基地址。通过MODULEENTRY32来读取，下面是代码： #include <Windows.h> #include <Tlhelp32.h> #include <stdio.h> HMO...
C# 获取32位和64位MAC地址
qqqqqqqq188的专栏
09-23 475
32位的是：  public string GetMac(object o) { string mac = ""; ManagementClass mc; mc = new ManagementClass("Win32_NetworkAdapterConfiguration"); ManagementObjectCollection moc = mc.GetInstances();
Win32_Process
Burgess_Liu的专栏
03-20 3362
To get a list of processes on your local computer: Get-WmiObject -class Win32_Process   To get the values of related properties for the process sqlservr.exe, the SQL Server service: Get-WmiObject
64位环境下32位进程获取64位进程的命令行参数和当前目录
weixin_34205076的博客
11-18 1031
BOOL GetProcessCurDir(HANDLE hProcess,mystring&strCurDir){ BOOL bSuccess = FALSE; // PROCESS_BASIC_INFORMATION pbi; TNtQueryInformationProcess pfnNtQueryInformationProcess = NULL; ...
c++获取进程路径的几种方法（32位/64位程序的坑）
04-12 3190
这两天在做一个网络程序时，遇到了通过进程pid获取进程路径的需求，之前是用CreateToolhelp32Snapshot获取指定pid的模块，然后通过Module32First获取到其中的路径信息。不过因为本身程序是32位的，在获取64位程序时，却返回了299错误。经过网上查询，找到了另外的方法：OpenProcess打开指定pid进程，获得其句柄，该进程要有PROCESS_QUERY_INFO...
C++ 在Win7 32和64位获取进程全路径
sder3445555的专栏
09-17 7488
GetProcessImageFileName可以在xp和win732位和64位都能获取进程路径，GetModuleFileNameEx只能获取32位进程路径 但GetProcessImageFileName获取的路径都是包含设备名的路径，因此我们还要转换成一下，因此我们最终的GetProcessFullPath函数这样的 //获取进程完整路径 BOOL GetProcessFullPath(
5.7 Windows驱动开发：取进程模块函数地址
最新发布
CSDN
11-25 1万+
在笔者上一篇文章`《内核取应用层模块基地址》`中简单为大家介绍了如何通过遍历`PLIST_ENTRY32`链表的方式获取到`32位`应用程序中特定模块的基地址，由于是入门系列所以并没有封装实现太过于通用的获取函数，本章将继续延申这个话题，并依次实现通用版`GetUserModuleBaseAddress()`取远程进程中指定模块的基址和`GetModuleExportAddress()`取远程进程中特定模块中的函数地址，此类功能也是各类安全工具中常用的代码片段。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值