在 Windows 中识别进程加载的所有模块

Question

我正在编写一个 C++ 程序，它需要告诉我由给定进程加载的所有模块。我已经开始研究EnumProcessModules，但它警告：“EnumProcessModules 函数不会检索使用 LOAD_LIBRARY_AS_DATAFILE 标志加载的模块的句柄。有关更多信息，请参阅 LoadLibraryEx。”

不幸的是，LoadLibraryEx没有提供有关如何识别以这种方式加载的任何进程的任何见解。它仅提供将其作为数据文件加载不会阻止任何其他进程更改库的功能。

有没有办法识别用 LoadLibraryEx 动态加载的库？

Answer 1

1. 枚举进程的虚拟内存VirtualQueryEx。

2. 对于每个MEM_MAPPED或MEM_IMAGE范围，使用GetMappedFileName（从 Windows 7 开始在 kernel32 中；对于 PSAPI.DLL 中可用的旧版本）查询映射的文件名。