如何找到dll的最小和最大地址

Question

我通过注入 dll 扫描进程内存并读取它的内存。 问题是我也读取了dll的内存。 有人知道该怎么做吗？

Answer 1

使用GetModuleInformation ，它可以接受远程进程的HPROCESS和注入的 DLL 的HMODULE ，并在MODULEINFO结构中返回以下信息：

typedef struct _MODULEINFO {
  LPVOID lpBaseOfDll;
  DWORD  SizeOfImage;
  LPVOID EntryPoint;
} MODULEINFO, *LPMODULEINFO;

所以你可以通过lpBaseOfDll字段知道你注入的 DLL 的起始地址，通过lpBaseOfDll + SizeOfImage知道结束地址。

---

这也适用于使用GetCurrentProcess和例如GetModuleHandle当前进程中的 DLL。