如何枚举进程的模块？

Question

我的应用程序创建了一个挂起的进程，通过 VirtualQueryEx() 获取进程的信息，但使用 EnumProcessModules() 获取进程的模块信息失败。

仅当进程未创建挂起并且在调试器中命中断点（因此程序在执行调用之前运行）时，上述任务才完成。

我正在尝试编写一个非常不错的反汇编程序，为此我需要运行一个暂停的目标进程，但 EnumProcessModules() 不适用于暂停的进程。

还有其他选择吗？

Answer 1

几年前我处理过类似的事情。如果我没记错的话，我最终做的是创建暂停的任务，然后GetThreadContext，设置它的陷阱标志SetThreadContext，恢复线程（运行一条指令），然后使用EnumProcessModules。

当然，可能还有其他方法可以解决这个问题，但至少如果有记忆的话，那是我当时想出的，我似乎记得它的工作原理。