没有DLL注入的进程的基地址？

Question

通过DLL注入，获取进程的基地址就像使用一样简单

GetModuleHandleW(0);

所以我试图在不注入的情况下获取地址，但我似乎无法让它工作。我在 Google 上搜索了一些解决方案，并从 stackoverflow 中找到了其他解决方案，但它们似乎不起作用。这是我现在正在使用的。我有正确的标题，它可以编译。它只是不起作用。

DWORD_PTR dwGetModuleBaseAddress(DWORD dwProcID, TCHAR *szModuleName)
{
    DWORD_PTR dwModuleBaseAddress = 0;
    HANDLE hSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE | TH32CS_SNAPMODULE32, dwProcID);
    if (hSnapshot != INVALID_HANDLE_VALUE)
    {
        MODULEENTRY32 ModuleEntry32;
        ModuleEntry32.dwSize = sizeof(MODULEENTRY32);
        if (Module32First(hSnapshot, &ModuleEntry32))
        {
            do
            {
                if (_tcsicmp(ModuleEntry32.szModule, szModuleName) == 0)
                {
                    dwModuleBaseAddress = (DWORD_PTR)ModuleEntry32.modBaseAddr;
                    break;
                }
            } while (Module32Next(hSnapshot, &ModuleEntry32));
        }
        CloseHandle(hSnapshot);
    }
    return dwModuleBaseAddress;
}

我尝试计算这个地址，它只给我 0。我认为这可能是我不理解第二个参数的事实。我只是复制我看到的。这是我的主要功能。

int main() { 
   HWND hwnd = FindWindowA(NULL, gameName); 
   int x; 
   if (hwnd == NULL) { 
      cout << "Cannot find " << (string)gameName << " window" << endl; 
      cin >> x; 
      exit(-1); 
   } 

   DWORD procID; 
   GetWindowThreadProcessId(hwnd, &procID); 
   HANDLE handle = OpenProcess(PROCESS_ALL_ACCESS, FALSE, procID); 

   DWORD playerAddr = 0; 
   playerAddr = dwGetModuleBaseAddress(procID, _T("starbound.exe")); 
   cout << hex << playerAddr; 
}

其中一些可能是多余的，因为我只是将它添加到我之前的内容中。我只是不确定为什么它不起作用。

Answer 1

你的代码是正确的，没有任何问题，我只是在x86和x64上测试过。

您的问题是您需要以管理员身份运行，因此您拥有访问其他进程的正确安全权限，并且您还应该将项目构建为与目标进程相同的架构（x86 或 x64）。

如果这些解决方案都没有解决它，那么您的“gameName”变量或您的模块名称定义不正确。

Answer 2

如果您使用 dwModuleBaseAddress 作为调试工具，可能更容易发现失败的调用...

DWORD_PTR dwGetModuleBaseAddress(DWORD dwProcID, TCHAR *szModuleName)
{
    DWORD_PTR dwModuleBaseAddress = (DWORD_PTR)-1; // unlikely value...
    HANDLE hSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE | TH32CS_SNAPMODULE32, dwProcID);
    if (hSnapshot != INVALID_HANDLE_VALUE)
    {
        MODULEENTRY32 ModuleEntry32;
        ModuleEntry32.dwSize = sizeof(MODULEENTRY32);

        dwModuleBaseAddress = (DWORD_PTR)-2;

        if (Module32First(hSnapshot, &ModuleEntry32))
        {
            do
            {
                --dwModuleBaseAddress;
                if (_tcsicmp(ModuleEntry32.szModule, szModuleName) == 0)
                {
                    dwModuleBaseAddress = (DWORD_PTR)ModuleEntry32.modBaseAddr;
                    break;
                }
            } while (Module32Next(hSnapshot, &ModuleEntry32));
        }
        CloseHandle(hSnapshot);
    }
    return dwModuleBaseAddress;
}

您还可以使用 GetLastError() 检查导致问题的错误

void PrintLastError()
{
    LPTSTR psz;
    DWORD dwError = GetLastError();
    FormatMessage(FORMAT_MESSAGE_ALLOCATE_BUFFER | FORMAT_MESSAGE_FROM_SYSTEM,
        NULL,
        dwError,
        0,
        (LPTSTR)&psz,
        1024,
        NULL);

    _tprintf(_T("Windows reports error: (0x%08X): %s\n"), dwError, (psz) ? psz : _T("(null)"));
    if (psz)
    {
        LocalFree(psz);
    }
}

如果一切都失败了，请尝试从 msdn https://msdn.microsoft.com/fr-fr/library/windows/desktop/ms686849(v=vs.85).aspx 运行此示例

它会打印你想要匹配的确切字符串，问题可能来自那里。