從x86應用程序獲取x64進程模塊基地址

Question

如何從x86（32bit）應用程序獲取x64進程中模塊的基地址。 我沒有問題，可以通過NtQuerySystemInformation獲取進程ID，但是CreateToolhelp32Snapshot和EnumProcesses都無法獲取x64進程模塊，還有其他方法可以執行此操作，例如缺少任何未公開的功能嗎？

Answer 1

您可以通過解析PEB結構來實現。 它沒有記錄，但是在系統之間沒有改變： http : //www.nirsoft.net/kernel_struct/vista/PEB.html

對您來說有趣的部分是PEB-> Ldr-> InLoadOrderModuleList。