Question

我想访问某个进程的某个地址。但为此我需要首先获得该进程的基地址。我正在使用一种工具来判断我是否真的做得对。该工具显示我需要以下内容："app.exe"+0x011F9B08 = 0x119F8300

我以为我可以通过OpenProcess()获取流程的基地址，但这样会给我：0x0000005c。我不认为这是对的吗？至少，不是我需要的。

我认为我需要的基地址是：0x119F8300 - 0x011F9B08 = 0x107FE7F8 <-- base?

这是我的代码：

hWindow = FindWindow(NULL, lpWindowName);
if(hWindow)
{
    GetWindowThreadProcessId(hWindow, &dwProcId);
    if(dwProcId != 0)
    {
            // hProcHandle -> 0x0000005c
            hProcHandle = OpenProcess(PROCESS_ALL_ACCESS, FALSE, dwProcId);
    }
    else
    {
        return 0;
    }
}

如何获取已打开的流程的基地址？

Answer 1

如果您想在其他进程的地址空间中获取虚拟地址，您可以这样做：

使用OpenProcess打开进程 - 如果成功，返回的值是进程的句柄，它只是内核用来标识内核对象的不透明标记。它的确切整数值（在你的情况下为0x5c）对用户空间程序没有意义，除了将它与其他句柄和无效句柄区分开来。
调用GetProcessImageFileName以获取该进程的主要可执行模块的名称。
使用EnumProcessModules枚举目标进程中所有模块的列表。
对于每个模块，请调用GetModuleFileNameEx以获取文件名，并将其与可执行文件的文件名进行比较。
当您找到可执行文件的模块时，请调用GetModuleInformation以获取可执行文件的原始入口点。

这将为您提供虚拟地址，但由于它未映射到您当前进程的地址空间，因此您无法使用它。

Answer 2

我想详细说明一下@Adam Rosenfield的回答。我将在这里使用英雄联盟作为例子。

为了打开流程（获取句柄），我们需要它的PID（进程ID）。我们可以通过窗口句柄（HWND）来做到这一点，因为通常窗口的标题是已知的

//You will need to change this the name of the window of the foreign process
HWND WindowHandle = FindWindow(nullptr, L"League of Legends (TM) Client");
DWORD PID;
GetWindowThreadProcessId(WindowHandle, &PID);
PVOID hProcess = OpenProcess(PROCESS_VM_READ | PROCESS_QUERY_INFORMATION, 0, PID);

现在我们能够获得流程的句柄让我们继续

HMODULE Module = GetModule();
DWORD BaseAddress = (DWORD)Module;

GetModule函数

HMODULE GetModule()
{
    HMODULE hMods[1024];
    HANDLE pHandle = GetHandle();
    DWORD cbNeeded;
    unsigned int i;

    if (EnumProcessModules(pHandle, hMods, sizeof(hMods), &cbNeeded))
        {
        for (i = 0; i < (cbNeeded / sizeof(HMODULE)); i++)
        {
            TCHAR szModName[MAX_PATH];
            if (GetModuleFileNameEx(pHandle, hMods[i], szModName, sizeof(szModName) / sizeof(TCHAR)))
            {
                wstring wstrModName = szModName;
                //you will need to change this to the name of the exe of the foreign process
                wstring wstrModContain = L"League of Legends.exe"; 
                if (wstrModName.find(wstrModContain) != string::npos)
                {
                    CloseHandle(pHandle);
                    return hMods[i];
                }
            }
        }
    }
    return nullptr;
}

就个人而言，我喜欢写两个单独的函数，一个用于获取句柄，另一个用于获取模块。

我们走了，我们已经成功获得了外国进程的基地址。

获取进程的基址

2 个答案: