CreateToolhelp32Snapshot：INVALID_HANDLE_VALUE（ERROR_PARTIAL_COPY）

Question

此代碼在64位應用程序中運行。目標應用程序是32位。

每次運行此代碼時，CreateToolhelp32Snapshot()返回INVALID_HANDLE_VALUE，然後GetLastError()返回ERROR_PARTIAL_COPY。所以它跳過循環並返回false。

BOOL HookInjector::InjectIntoProcess(DWORD pID) 
{ 
    //Get Handle to Remote Process 
    HANDLE Proc = OpenProcess(PROCESS_ALL_ACCESS, FALSE, pID); 
    .... 
    //Check to see if 64-bit or 32-bit application 
    IsWow64Process(Proc, &isWow64); 
    size_t szCurProc = sizeof(void*); //returns 8 
    if (isWow64) 
    { 
     __debugbreak(); 
     //Get list of all Modules associated with the Process 
     HANDLE hProc32Module; 
     do { 
      hProc32Module = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE32, pID); 
     } 
     while ((hProc32Module == INVALID_HANDLE_VALUE) && (GetLastError() == ERROR_BAD_LENGTH)); 

    if (hProc32Module == INVALID_HANDLE_VALUE) { 
     __debugbreak(); 
     DWORD err = GetLastError(); //just to see the error code which is 0x12b 
     return false; 
    } 

     //Find the module for Kernel.dll and get the base address of it 
     MODULEENTRY32 entryModule; 
     entryModule.dwSize = sizeof(MODULEENTRY32); 
     BOOL isGetModuleSuccess = Module32First(hProc32Module, &entryModule); 
     DWORD errEndofList = GetLastError(); 
     BOOL isSuccessful = false; 
     while (errEndofList != ERROR_NO_MORE_FILES && isGetModuleSuccess) 
     { 
      if (_tcscmp(entryModule.szModule, KERNEL32_DLL)){ 
       isSuccessful = true; 
       break; 
      } 
      isGetModuleSuccess = Module32Next(hProc32Module, &entryModule); 
      errEndofList = GetLastError(); 
     } 

     if (!isSuccessful) 
     { 
      __debugbreak(); 
      CloseHandle(hProc32Module); 
      return false; 
     } 

     //Get handle for Kernel.dll module 
     hKernel32 = entryModule.hModule; 
     CloseHandle(hProc32Module); 
    } 
    else 
    { 
     .... 

Answer 1

按照documentation，CreateToolhelp32Snapshot()只有失敗，ERROR_PARTIAL_COPY時CreateToolhelp32Snapshot()由32位進程試圖訪問一個64位的過程被稱爲：

如果指定的進程是一個64位進程和調用者是32位進程，該函數失敗，最後一個錯誤代碼爲ERROR_PARTIAL_COPY（299）。

確保您的應用程序確實是爲64位編譯開始的。 TH32CS_SNAPMODULE32纔有意義使用時CreateToolhelp32Snapshot()被稱爲在一個64位的過程：從64調用時

TH32CS_SNAPMODULE32
0x00000010
包括在快照在th32ProcessID指定的進程的所有32位模塊bit process。

您也沒有考慮到GetLastError()僅在API函數失敗時更新，除非另有說明。你的循環假設每個API調用後都會更新GetLastError()，這根本不是這樣。

嘗試一些更喜歡這個：

BOOL HookInjector::InjectIntoProcess(DWORD pID) 
{ 
    //Get Handle to Remote Process 
    HANDLE Proc = OpenProcess(PROCESS_ALL_ACCESS, FALSE, pID); 
    .... 

    DWORD dwFlag; 
    #ifdef _WIN64 
    //Check if Remote Process is a 32-bit application 
    BOOL isWow64 = FALSE; 
    IsWow64Process(Proc, &isWow64); 
    if (!isWow64) return false; 
    // TH32CS_SNAPMODULE32 includes 32bit modules when used by a 64bit process... 
    dwFlag = TH32CS_SNAPMODULE32; 
    #else 
    // TH32CS_SNAPMODULE includes 32bit modules when used by a 32bit process... 
    dwFlag = TH32CS_SNAPMODULE; 
    #endif 

    __debugbreak(); 

    //Get list of all Modules associated with the Process 

    HANDLE hProc32Module; 
    do { 
     hProc32Module = CreateToolhelp32Snapshot(dwFlag, pID); 
    } 
    while ((hProc32Module == INVALID_HANDLE_VALUE) && (GetLastError() == ERROR_BAD_LENGTH)); 

    if (hProc32Module == INVALID_HANDLE_VALUE) { 
     __debugbreak(); 
     return false; 
    } 

    //Find the module for Kernel.dll and get the base address of it 

    hKernel32 = NULL; 

    MODULEENTRY32 entryModule = {0}; 
    entryModule.dwSize = sizeof(MODULEENTRY32); 

    BOOL isGetModuleSuccess = Module32First(hProc32Module, &entryModule); 
    while (isGetModuleSuccess) { 
     if (_tcscmp(entryModule.szModule, KERNEL32_DLL)) { 
      hKernel32 = entryModule.hModule; 
      break; 
     } 
     isGetModuleSuccess = Module32Next(hProc32Module, &entryModule); 
    } 

    if (!hKernel32) { 
     __debugbreak(); 
     CloseHandle(hProc32Module); 
     return false; 
    } 

    CloseHandle(hProc32Module); 

    .... 
}