адрес & модуль

Есть адрес виртуальной памяти пользовательского диапазона. Как узнать какой модуль расположен по этому адресу?

 

Наверное просмотреть все LDR_MODULE через PEB_LDR_DATA.InLoadOrderModuleList и смотреть пересечения

 

а прямого метода нету? чтоб не перебором

 

Может и не прямой, но успешно применяется:

Декрементировать адрес и смотреть пока не 'MZ' или пока каспер поток не прибьет ))) уж больно не шеллкод будет смахивать )))

 

ну и на этом спасибо, ща буду пробовать!

 

Так, на заметку........

В 2001 мсдне были сорсы dr Watson , а он по адресу может модуль определять в любой системе.

 

B.E.A.U.T.I.F.U.L.!

только где msdn 2001 найти?

 

а хэндл процесса есть ?

 

RamMerLabs
Хорошая аббревиатура... кстать а как расшифровуется?

У меня когда то был . Могу недели через 3 найти и выслать на мыло

 

Да никак не расшифровуется, так просто вспомнил "Эйс Вентура" с оригинальной (английской) озвучкой.

есть

А он сильно объёмный, а то у меня траф ограничен - 100Мб. Потом за каждый метр по 1,5 рубля, а степуха не раньше 15 февраля.

 

Код (Text):

1. CString GetModName_of_Addr_PID(DWORD pid, DWORD Addr)
2. {
3.     // Получить моментальный снимок процесса.
4.     HANDLE hthSnapshot = NULL;
5.     hthSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, pid);
6.     MODULEENTRY32 me = {sizeof(me)};
7.     Module32First(hthSnapshot,&me);
8.     do
9.     {
10.         if (((DWORD)me.hModule < Addr) &&
11.             (((DWORD)me.hModule + me.modBaseSize) > Addr))
12.         {
13.             CloseHandle(hthSnapshot);
14.             return me.szExePath;
15.         }
16.     } while(Module32Next(hthSnapshot,&me));
17.    
18.     CloseHandle(hthSnapshot);
19.     return "";
20. }

Так можна с юзер режима. Аналогично через PEB c ядра как писал yuzvir

 

ну эту ф-ию я и сам сделал (только через PSAPI), но адрес у меня получается указывает на kernel32.dll, ещё разбираюсь.

 

RamMerLabs
<Есть адрес виртуальной памяти пользовательского диапазона. Как узнать какой модуль расположен по этому адресу?
>
Никогда не думал что там может быть расположена куча или выделеные куски памяти ? тогда ты никак модуль не определишь, единствено проверить адреса куч.

 

но как же это сделано в Process Explorere? (см свойства процесса, вкладка threads)

 

RamMerLabs
Ну и в большинстве случаев вижу там именно kernel32 (GetModuleFileName + N или CreateThread + N).

 

разобрался! Всем спасибо!