Как получить точку входа дочернего процесса?

Question

Я создал дочерний процесс из моего процесса с помощью CreateProcess() (на C++). Затем я продолжаю использовать ReadProcessMemory для чтения памяти и поиска чего-то определенного.

Я хотел бы начать поиск с точки входа этого процесса, так как процесс загружается в его собственное виртуальное пространство. Я понятия не имею, как узнать точку входа для самого кода (I dont заботиться о других разделах PE-файла), Мне известно о поле «AddressOfEntryPoint» в формате PE, и у меня его уже есть, но поскольку я понятия не имею, на каком адресе этот процесс будет загружен, как я могу вычислить точку входа сам?

, чтобы продемонстрировать то, что я хочу, если открыть процесс с OllyDbg, например, вы сразу достигнете точки входа для кода, я хочу, чтобы этот адрес

помнить, что это дочерний процесс, который я создал, если это помогает

позвольте мне сказать, что я не хочу, чтобы ввести любой код или DLL в этой заявке узнать, что адрес

Answer 1

Я не знаю точно, но ... насколько я знаю, вы можете Finde адрес EntryPoint в заголовке PE .exe/.dll

или .... это фиксированный один

, что все я remenber

Answer 2

AddressOfEntryPoint является относительно базового адреса изображения (член ImageBase того же IMAGE_OPTIONAL_HEADER структуры). Для исполняемых файлов основная база изображений почти всегда установлена ​​в заголовке PE, так как каждый исполняемый файл имеет свое виртуальное адресное пространство.

Фактически exes с разделенными секциями перемещения может быть загружен только на базе, которая находится в PE.

Я не уверен, если есть исключения, и если это возможно, чтобы получить базу изображения запущенного процесса ...

Answer 3

Использование PSAPI'S GetModuleInformation с HMODULE от NULL. Это даст вам точку входа исполняемого файла, а также общий размер в памяти (к сожалению, базовый адрес не задан.)

Обратите внимание, что точкой входа необязательно является функция main() - это, вероятно, CRT точка входа, которая, в свою очередь, вызывает ваш основной().

Вы также можете использовать EnumProcessModules, чтобы получить все модули в процессе и их базовые адреса.