如何确定 exe 文件是 .Net exe 还是常规 exe？

Question

这不是以下 SO 问题的重复： How do I tell if a win32 application uses the .NET runtime.

如果给定的 exe 文件是 .net exe 文件还是常规的 WIN32/WIN64 exe 文件，我如何以编程方式找出？

问题不是询问正在运行的进程，而是关于 exe 文件，正如标签所示，不需要用 VB.net 或 C# 编写的解决方案。

我需要一个带有签名的函数，例如：

// return true if filename is a exe file for .Net
bool IsExeFileDotNet(LPCTSTR filename)
{
   ...
}

Answer 1

一种方法是询问 PE 标头等以获取正确的标志。有几个链接可供进一步阅读； here 和 here（以及一篇较早的 MSDN 文章 here）。

关于 PE 标头 is available (with a license agreement) 的 MS 文档。

最简单的方法可能是到list the dependent dlls（因为这仅适用于主exe）并查找mscoree.dll 的存在。导入表将包括 mscoree.dll 以及函数 _CorExeMain 的包含和条目（来自 mscoree.dll）。可以在here on SO 和here on GitHub, that appears to be an extensive sample 和this article (on CodeGuru) 找到更多关于此的链接，其中包含您需要的带有签名BOOL IsManaged(LPTSTR lpszImageName) 的函数的代码（许可证似乎限制重新发布）。

Answer 2

旧的备用是从带有GetFileVersion() 的文件中读取目标运行时版本。当可执行文件不包含 CLR 标头时，它将失败并显示 ERROR_BAD_FORMAT。适用于程序集的任何位数和任何目标体系结构。你必须像这样使用它：

#define USE_DEPRECATED_CLR_API_WITHOUT_WARNING
#include <mscoree.h>
#pragma comment(lib, "mscoree.lib")
#include <assert.h>

bool IsExeFileDotNet(LPCWSTR filename)
{
    WCHAR buf[16];
    HRESULT hr = GetFileVersion(filename, buf, 16, NULL);
    assert(hr == S_OK || hr == HRESULT_FROM_WIN32(ERROR_BAD_FORMAT));
    return hr == S_OK;
}

请注意使用 USE_DEPRECATED_CLR_API_WITHOUT_WARNING 来抑制弃用错误，MSCorEE api 可能会在未来的 .NET 主要版本中消失。

不推荐使用的方法是使用ICLRMetaHost::GetFileVersion()，缺点是它只能在机器安装了.NET 4 时工作。今天不完全是一个主要问题。看起来像这样：

#include <Windows.h>
#include <metahost.h>
#include <assert.h>
#pragma comment(lib, "mscoree.lib")

bool IsExeFileDotNet(LPCWSTR filename)
{
    ICLRMetaHost* host;
    HRESULT hr = CLRCreateInstance(CLSID_CLRMetaHost, IID_ICLRMetaHost, (void**)&host);
    assert(SUCCEEDED(hr));
    if (hr == S_OK) {
        WCHAR buf[16];
        DWORD written;
        hr = host->GetVersionFromFile(filename, buf, &written);
        assert(hr == S_OK || hr == HRESULT_FROM_WIN32(ERROR_BAD_FORMAT));
        host->Release();
    }
    return SUCCEEDED(hr);
}

在this Q+A 中提到了直接戳可执行文件以查找文件中的 CLR 标头的其他技术。很难猜测它们的面向未来的能力。

Answer 3

这个想法是检查特殊的PE目录IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR是否存在。

我最近写了类似的功能，代码在这里，你可以使用它。事实上，我使用了一个智能包装器来处理句柄，但这里省略了它，所以添加了 CloseHandle 的显式调用。在 ReadFile/SetFilePointer 调用后检查错误也是一个好主意。无论如何，我希望它有用：

BOOL IsDotNetApp(LPCWSTR szPath)
{
    HANDLE hFile = CreateFileW(szPath, GENERIC_READ, FILE_SHARE_READ, NULL, OPEN_EXISTING, 0, NULL);
    if (INVALID_HANDLE_VALUE == hFile)
        return FALSE;

    DWORD temp;

    IMAGE_DOS_HEADER IMAGE_DOS_HEADER_;
    ReadFile(hFile, &IMAGE_DOS_HEADER_, sizeof(IMAGE_DOS_HEADER_), &temp, NULL);

    SetFilePointer(hFile, IMAGE_DOS_HEADER_.e_lfanew, NULL, FILE_BEGIN);

    const int nNtHeaderMaxSize = sizeof(IMAGE_NT_HEADERS64);
    BYTE NT_HEADERS[nNtHeaderMaxSize];
    ReadFile(hFile, NT_HEADERS, nNtHeaderMaxSize, &temp, NULL); 

    PIMAGE_NT_HEADERS pNT_HEADERS = (PIMAGE_NT_HEADERS)NT_HEADERS;
    BOOL bRes;
    if (pNT_HEADERS->OptionalHeader.Magic == IMAGE_NT_OPTIONAL_HDR32_MAGIC)
    {
        bRes = 0 != ((PIMAGE_NT_HEADERS32)NT_HEADERS)->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR].VirtualAddress;
    }
    else if (pNT_HEADERS->OptionalHeader.Magic == IMAGE_NT_OPTIONAL_HDR64_MAGIC)
    {
        bRes = 0 != ((PIMAGE_NT_HEADERS64)NT_HEADERS)->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_COM_DESCRIPTOR].VirtualAddress;
    }
    else
    {
        // Unknown header type
        bRes = FALSE;
    }

    CloseHandle(hFile);

    return bRes;
}