32位程序获取32/64位进程文件地址通用方法

最新推荐文章于 2023-11-25 21:26:27 发布

原创

最新推荐文章于 2023-11-25 21:26:27 发布 · 960 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#计算机

本文介绍了在32位程序中获取32/64位进程文件地址的通用方法，通过使用GetProcessImageFileNameA API和QueryDosDeviceA进行转换。这种方法适用于包括Windows XP在内的多种系统，并且避免了使用复杂汇编的wow64方法。

Python微信订餐小程序课程视频

https://edu.youkuaiyun.com/course/detail/36074

Python实战量化交易理财系统

https://edu.youkuaiyun.com/course/detail/35475

32位程序获取32/64位进程文件地址通用方法

引子

一般来说,限于32位程序GetModuleFileNameEx对于64位程序来说是不管用的,我们如果需要在32位程序获得64位进程的运行目录可能需要用到wow64或者是QueryFullProcessImageName。

但是

前者虽然通用，但是实现起来过于复杂，还需要用到汇编，后者

Minimum supported client	Windows Vista [desktop apps only]
Minimum supported server	Windows Server 2008 [desktop apps only]

上为ms docs给出的限制条件，显然无法支持到诸如XP之类的系统

显然这个API不是通用的，那么如果我们需要一个通用且方

最低0.47元/天解锁文章

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

pythonxxoo

关注关注

0
点赞
踩
1

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

专栏目录

C++ 在Win7 32和64位获取进程全路径

sder3445555的专栏

09-17

7598

GetProcessImageFileName可以在xp和win732位和64位都能获取进程路径，GetModuleFileNameEx只能获取32位进程路径但GetProcessImageFileName获取的路径都是包含设备名的路径，因此我们还要转换成一下，因此我们最终的GetProcessFullPath函数这样的 //获取进程完整路径 BOOL GetProcessFullPath(

[Win32] 获取进程完整路径

热门推荐

zuishikonghuan的博客

08-18

1万+

上两篇中，我们讲到了ToolHelp API，Process API和提升Debug权限，这一篇中来说说如何获取进程的程序路径。获取进程路径其实有很多方法。方法1。使用ToolHelp API枚举模块，其中，Module32First得到一个MODULEENTRY32 结构，结构中有一个szExePath成员，这个成员代表这个进程第一个模块的路径，也就是进程的路径（32位程序只能获取3

参与评论您还未登录，请先登录后发表或查看评论

32位进程枚举64位进程模块信息

06-02

资源介绍：。' WOW64的32位程序其实拥有64位程序的全部功能,包括32注入64位、枚举64位进程模块、Hook64位模块、调用64位API等等等等....' 因为WOW64程序不是完全的虚拟化的，是伪虚拟化，本身就是一个64位进程,只是自己以为是32位程序而已. 所以Wow64进程里面。' 既有 64位环境结构,又有32位环境结构, 使用api NtWow64QueryInformationProcess64 可以获取进程的64位PEB结构地址,。' 使用api NtWow64ReadVirtualMemory64 可以读取进程的64位内存地址的数据. 通过PEB64结构进行遍历进程的64位模块!。资源作者：。@iokey。资源下载：。Tags：64位进程。

易语言-32位进程枚举64位进程模块信息

06-29

' WOW64的32位程序其实拥有64位程序的全部功能,包括32注入64位、枚举64位进程模块、Hook64位模块、调用64位API等等等等.... ' 因为WOW64程序不是完全的虚拟化的，是伪虚拟化，本身就是一个64位进程,只是自己以为是32位程序而已. 所以Wow64进程里面 ' 既有 64位环境结构,又有32位环境结构, 使用api NtWow64QueryInformationProcess64 可以获取进程的64位PEB结构地址, ' 使用api NtWow64ReadVirtualMemory64 可以读取进程的64位内存地址的数据. 通过PEB64结构进行遍历进程的64位模块!

GetModuleFileNameEx

weixin_33974433的博客

05-06

2206

HANDLE hProcess =::OpenProcess(PROCESS_ALL_ACCESS,false,5196); char bufFullName[500]={0}; ::GetModuleFileNameEx((HMODULE)hProcess,NULL,bufFullName,sizeof(bufFullName));

32位程序访问64位Windows操作系统存放64位系统文件的 \Windows\System32 目录时将遇到重定向目录问题

henter的专栏

03-06

3200

为了检测 exe、dll、ocx 等类型的文件是 32 位还是 64 位，网上有文章推荐使用 EXE 64bit Detector 之类的工具软件。EXE 64bit Detector 的官网是：http://securityxploded.com/exe-64bit-detector.php ，使用 EXE 64bit Detector 查看一般普通目录中文件的位数是有效的，但是如果用它...

[学习记录] 32位程序调用64位API NtQuerySystemInformation 遍历内核模块

weixin_43511498的博客

11-02

587

32位程序调用64位API NtQuerySystemInformation 遍历内核模块,纯粹记录一下,免得日后记不住。

易语言-eWOW64Ext v1.21 - 加载任意 32/64 模块|动态调用|64 位汇编|64 位进程读写

06-25

在 64 位操作系统中，不管你的程序是 32 还是 64 位的，其实都存在两个地址空间，正常情况下 32 位程序访问的自然是 32 位的地址空间，而 64 位程序访问其 64 位地址空间。但是这两个空间是同时存在且可以切换的，...

eWOW64Ext v1.1 - 加载任意 32/64 模块|64 位汇编及进程读写-易语言

06-12

32位与64位程序间通信，通过共享内存实现

04-15

4. **64位程序接入**：在64位程序中，同样调用`CreateFileMapping()`，但这次传入的是一个空的文件名（由32位程序创建的内存映射文件的名称），以及先前32位程序创建的内存映射文件的访问权限。然后使用`...

eWOW64Ext v1.2 - 加载任意 32/64 模块|动态调用|64 位汇编|64 位进程读写-易语言

06-12

32位程序读取64位进程内存

htpidk的博客

10-09

2010

//第一步：//定義函數參數結構 typedef NTSTATUS(NTAPI *LPFN_NTWOW64READVIRTUALMEMORY64)( IN HANDLE ProcessHandle, IN ULONG64 BaseAddress, OUT PVOID BufferData, IN ULONG64 BufferLength, OUT PULONG64 ReturnLength OPTIONAL); typedef NTSTATUS(NTAPI *LPFN_NTWOW64WR

通过进程ID获取基地址

weixin_34221775的博客

01-08

556

下面代码是通过进程ID来获取进程的基地址，创建一个进程快照后，读取进程模块，一般情况下第一个模块就是进程的基地址，下面的程序通过模块的字符串匹配来找到基地址。通过MODULEENTRY32来读取，下面是代码： #include <Windows.h> #include <Tlhelp32.h> #include <stdio.h> HMO...

C# 获取32位和64位MAC地址

qqqqqqqq188的专栏

09-23

531

32位的是： public string GetMac(object o) { string mac = ""; ManagementClass mc; mc = new ManagementClass("Win32_NetworkAdapterConfiguration"); ManagementObjectCollection moc = mc.GetInstances();

Win32_Process

Burgess_Liu的专栏

03-20

3445

To get a list of processes on your local computer: Get-WmiObject -class Win32_Process To get the values of related properties for the process sqlservr.exe, the SQL Server service: Get-WmiObject

64位环境下32位进程获取64位进程的命令行参数和当前目录

weixin_34205076的博客

11-18

1158

BOOL GetProcessCurDir(HANDLE hProcess,mystring&strCurDir){ BOOL bSuccess = FALSE; // PROCESS_BASIC_INFORMATION pbi; TNtQueryInformationProcess pfnNtQueryInformationProcess = NULL; ...

c++获取进程路径的几种方法（32位/64位程序的坑）

04-12

3556

这两天在做一个网络程序时，遇到了通过进程pid获取进程路径的需求，之前是用CreateToolhelp32Snapshot获取指定pid的模块，然后通过Module32First获取到其中的路径信息。不过因为本身程序是32位的，在获取64位程序时，却返回了299错误。经过网上查询，找到了另外的方法：OpenProcess打开指定pid进程，获得其句柄，该进程要有PROCESS_QUERY_INFO...

5.7 Windows驱动开发：取进程模块函数地址

优快云

11-25

1万+

在笔者上一篇文章`《内核取应用层模块基地址》`中简单为大家介绍了如何通过遍历`PLIST_ENTRY32`链表的方式获取到`32位`应用程序中特定模块的基地址，由于是入门系列所以并没有封装实现太过于通用的获取函数，本章将继续延申这个话题，并依次实现通用版`GetUserModuleBaseAddress()`取远程进程中指定模块的基址和`GetModuleExportAddress()`取远程进程中特定模块中的函数地址，此类功能也是各类安全工具中常用的代码片段。

易语言无模块注入_针对银行木马BokBot核心模块的深入分析

weixin_39707201的博客

11-22

2725

一、概述BokBot恶意软件由LUNAR SPIDER恶意组织开发和运营，在2017年首次出现，CrowdStrike的Falcon Overwatch和Falcon Intelligenc团队对被感染主机进行了分析。最近，由于借助MUMMY SPIDER恶意组织的Emotet恶意软件进行分发活动，BokBot的感染数量又有所增加。BokBot恶意软件具有强大的功能，分为命令和控制、模...

掌握64/32位Hook API实现技巧

关于文件标题中提到的"64/32 hook api 实现"，在实践过程中，需要特别关注64位与32位实现的差异，例如调用约定的不同以及寄存器使用的变化。通过阅读相关的教程和文档，例如提供的链接 ...