说，我可以使用Wow64DisableWow64FsRedirection API 来禁用文件系统重定向，但是有没有办法知道线程当前是否被重定向？也就是说，有没有像GetWow64FsRedirection这样的API？
【问题讨论】：
标签： c++ windows winapi ntfs kernel32
没有报告此状态的 API 函数。您应该记住您禁用了重定向。
【讨论】：
%SystemRoot%\System32 的句柄上调用GetFinalPathNameByHandle。如果它被重定向，最终路径将以SysWOW64结束。
Wow64DisableWow64FsRedirection(&disabled);Wow64RevertWow64FsRedirection(disabled);。后一个调用仅在以前启用时才启用重定向。
另一种方法是检查 Windows System32 目录中是否存在 wow32.dll（通常为 C:\Windows\System32）。
在 64 位系统上，此文件应位于 SysWOW64 目录中，因此如果启用了文件重定向，它将被找到。
同样，可以检查是否存在wow64.dll，它位于 64 位系统的 System32 目录中，如果找不到，则启用重定向。
伪代码是：
bool IsWow64FileSystemRedirectionEnabled()
{
if (!Is64BitOS()) return false;
if (FileExists(GetSystem32Directory() + "\\wow32.dll")) return true;
return false;
}
地点：
【讨论】：
c:\Windows。然后我会对依赖文件的存在来检测功能产生双重怀疑。使用这种方法，您可能会在代码中引入安全漏洞。
System32 路径，所以它不会误导。
%SystemRoot%\System32 的句柄上使用 GetFinalPathNameByHandle 的两倍）。
抱歉，忘记发布后续内容。正如公认的答案所暗示的那样，没有 API 可以检测到这一点。太糟糕了，因为信息就存储在线程TEB struct 的未记录部分中。 （在代码中查看我的 cmets。）
下面的代码将检索它。
我必须先说它是通过反转上述 API 获得的。所以这是一个高度无证的东西，可能会在未来的操作系统版本中被破坏。所以在使用之前一定要做好版本保障。不过，所有已发布的 Windows 版本都应该没问题，包括 Windows 10 build 17134：
enum YESNOERR{
ERR = -1,
NO = 0,
YES = 1,
};
struct PROC_STATS{
BOOL b32BitProcessOn64BitOS;
DWORD dwOS_Major;
DWORD dwOS_Minor;
DWORD dwOS_Build;
PROC_STATS()
{
BOOL (WINAPI *pfnIsWow64Process)(HANDLE, PBOOL);
(FARPROC&)pfnIsWow64Process = ::GetProcAddress(::GetModuleHandle(_T("kernel32.dll")), "IsWow64Process");
BOOL bWow64 = FALSE;
b32BitProcessOn64BitOS = pfnIsWow64Process && pfnIsWow64Process(::GetCurrentProcess(), &bWow64) && bWow64;
LONG (WINAPI *pfnRtlGetVersion)(RTL_OSVERSIONINFOEXW*);
(FARPROC&)pfnRtlGetVersion = ::GetProcAddress(::GetModuleHandle(_T("ntdll.dll")), "RtlGetVersion");
OSVERSIONINFOEX osvi = {0};
osvi.dwOSVersionInfoSize = sizeof(osvi);
pfnRtlGetVersion(&osvi);
dwOS_Major = osvi.dwMajorVersion;
dwOS_Minor = osvi.dwMinorVersion;
dwOS_Build = osvi.dwBuildNumber;
}
};
PROC_STATS procStats;
YESNOERR __cdecl GetWow64FsRedirection()
{
//Checks if Wow64 file system redirection is on for the current thread
YESNOERR res = ERR;
__try
{
if(procStats.b32BitProcessOn64BitOS)
{
//Really easy pre-Win10 v.10.0.10041.0
if(procStats.dwOS_Major < 10 ||
(procStats.dwOS_Major == 10 && procStats.dwOS_Build <= 10041))
{
//Win XP, 7, 8.1 & earlier builds of Win10
__asm
{
mov eax, fs:18h ; TEB
mov eax, [eax + 0F70h]
mov eax, [eax + 14C0h]
xor ecx, ecx
test eax, eax ; 0=Wow64FsRedir is on, 1=Off
setz cl
mov [res], ecx
}
}
else
{
//Latest builds of Win10 have a separate WoW TEB block
__asm
{
mov eax, fs:18h ; TEB
mov ecx, [eax + 0FDCh] ; WowTebOffset
test ecx, ecx
jns lbl_no_offset ; it must precede TEB
add eax, ecx
lbl_no_offset:
cmp eax, [eax + 18h] ; pick version of the struct
jz lbl_alt
mov eax, [eax + 14C0h]
jmp lbl_check
lbl_alt:
mov eax, [eax + 0E30h]
lbl_check:
xor ecx, ecx
test eax, eax ; 0=Wow64FsRedir is on, 1=Off
setz cl
mov [res], ecx
}
}
}
else
{
//It's off by default
res = NO;
}
}
__except(1)
{
//Oops, too far in the future -- this no longer works
res = ERR;
}
return res;
}
你可以这样测试它：
resWow64FsOn = GetWow64FsRedirection();
_tprintf(L"Wow64FsRedirection=%d\n", resWow64FsOn);
void* pOldV;
if(::Wow64DisableWow64FsRedirection(&pOldV))
{
resWow64FsOn = GetWow64FsRedirection();
_tprintf(L"Wow64FsRedirection=%d\n", resWow64FsOn);
::Wow64RevertWow64FsRedirection(pOldV);
resWow64FsOn = GetWow64FsRedirection();
_tprintf(L"Wow64FsRedirection=%d\n", resWow64FsOn);
}
else
{
_tprintf(L"ERROR: (%d) API Failed\n", ::GetLastError());
}
【讨论】：