32位进程中枚举64位进程的模块信息

简介：
本文探讨在32位应用程序中获取64位进程中模块信息的方法和技术，详细介绍实现过程中的关键步骤与挑战。 资源介绍：WOW64的32位程序实际上具备所有64位程序的功能，包括注入到64位进程、枚举64位进程模块、挂钩（Hook）64位模块以及调用64位API等。 这是因为WOW64不是完全虚拟化的环境，而是一个伪虚拟化系统。它本身就是一个运行在Windows上的64位进程，但其认为自己是32位程序。因此，在Wow64进程中同时存在有32位和64位的环境结构。通过使用NtWow64QueryInformationProcess64 API可以获取到目标进程的64位PEB（进程执行块）地址；而利用NtWow64ReadVirtualMemory64 API则能够读取该进程内部任意位置的数据，进而可以通过遍历PEB64结构来枚举出所有正在运行中的模块。