VC++实现枚举进程与模块

最新推荐文章于 2021-04-12 20:27:26 发布

尹成

最新推荐文章于 2021-04-12 20:27:26 发布

阅读量5.6k

点赞数 2

CC 4.0 BY-SA版权

分类专栏：信息安全创业与励志 VC++编程技术 Windows8 Visual C++2010编程技术互联网创业 Visual Studio2012

本文链接：https://blog.youkuaiyun.com/itcastcpp/article/details/8107293

本文展示了如何使用VC++通过不同方法枚举进程和其加载的模块，包括利用CreateToolhelp32Snapshot、EnumProcessModules、RtlQueryProcessDebugInformation等API，以及提权、遍历PEB等技术。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

#pragma once
#define _WIN32_WINNT 0x0500 
#include"windows.h"
#include"tlhelp32.h"
#include"stdio.h"
#include"NativeApi.h"
#include"wchar.h"
#include"psapi.h"//SDK6.0
#pragma comment(lib,"psapi.lib")////SDK6.0,不知道为什么vc6好像没有自带这个头文件？？

int GetUserPath(WCHAR* szModPath);
BOOL GetProcessModule(DWORD dwPID)
{
    BOOL bRet    =    FALSE;
    BOOL bFound    =    FALSE;
    HANDLE hModuleSnap = NULL;
    MODULEENTRY32 me32 ={0};
	
    hModuleSnap = ::CreateToolhelp32Snapshot(TH32CS_SNAPMODULE,dwPID);//创建进程快照
    if(hModuleSnap == INVALID_HANDLE_VALUE)
	{   
		printf("获取模块失败!\n");
		return FALSE;
	}
	
    me32.dwSize = sizeof(MODULEENTRY32);
    if(::Module32First(hModuleSnap,&me32))//获得第一个模块
	{
		do{
			
			printf("方法1列模块名：%s\n",me32.szExePath);
		}while(::Module32Next(hModuleSnap,&me32));
	}//递归枚举模块
	
	
	CloseHandle(hModuleSnap);
	return bFound;
}
bool ForceLookUpModule(DWORD dwPID)
{
	
	typedef DWORD( WINAPI *FunLookModule)(
		HANDLE ProcessHandle,
		DWORD BaseAddress,
		DWORD MemoryInformationClass,
		DWORD MemoryInformation,
		DWORD MemoryInformationLength,
		DWORD ReturnLength );
	HMODULE hModule = GetModuleHandle ("ntdll.dll" ) ;
	if(hModule==NULL)
	{ 
		return FALSE;
	}
    FunLookModule ZwQueryVirtualMemory=(FunLookModule)GetProcAddress(hModule,"ZwQueryVirtualMemory");
	if(ZwQueryVirtualMemory==NULL)
	{
		return FALSE;
	}
	HANDLE hProcess=OpenProcess(PROCESS_QUERY_INFORMATION,1,dwPID);