GetProcAddress（GetModuleHandle（“ user32.dll”），“ DefWindowProcW”）返回ntdll中的地址

Question

我正在使用Windows 7 Professional x64。

我需要挂钩DefWindowProcW过程。 但是，当我尝试通过GetProcAddress()获取其地址时，它将返回位于ntdll.dll中的NtdllDefWindowProcW()地址。 在NtdllDefWindowProcW()的开头有一个跳转到实际的user32函数DefWindowProcW() NtdllDefWindowProcW() 。

有没有一种方法可以获取真实的过程地址而不是ntdll过程？

Answer 1

这就是所谓的转发出口。 该功能已在Windows的早期版本的user32中实现。 但是在某个时候，微软决定将其迁移到ntdll中。 为了避免破坏应用程序，user32导出转发到ntdll中名为"NtdllDefWindowProc_W"的函数。

ntdll中转发的地址是实际实现该功能的位置。 随后可能会调用到user32中的是实现细节。 因此，如果要挂接DefWindowProcW ，则可以很好地挂接您对的调用返回的地址

GetProcAddress(GetModuleHandle("user32.dll"), "DefWindowProcW")