如何查找加载到进程中的 DLL 及其位置等

Question

我使用过 Process Explorer，但我忘记了另一个实用程序，它可以让您查看进程从何处加载（图像文件），以及内存中的 dll 以及它们从何处加载。

Process Explorer 对我来说仅适用于托管程序集。

还有什么是原生的吗？

Answer 1

Process Explorer 应该向您显示本机模块和托管模块。尝试提升运行它。

否则，有几种方法：

1. 使用 tlist.exe，它是调试工具的一部分对于 Windows 软件包（例如 tlist cmd.exe）
2. 附加 VS 调试器并在模块窗口中查找（Ctrl+Alt+ U）或附加 WinDbg 并使用 lm 命令
3. 使用 CreateToolhelp32Snapshot，Module32First 和 Module32Next 推出您自己的解决方案:)

Answer 2

还有一个开源工具“Process Hacker”。

它是一个高级任务管理器。
选择任何进程，按“Enter”，选择“模块”选项卡。

Answer 3

Windows Sysinternals 中的 ListDLLs 是一个命令行工具，可以完成您的任务寻找：

Listdlls.exe notepad.exe或Listdlls.exe 11524给出：

------------------------------------------------------------------------------
notepad.exe pid: 11524
Command line: "C:\WINDOWS\system32\notepad.exe"

Base                Size      Path
0x00000000bfae0000  0x38000   C:\WINDOWS\system32\notepad.exe
0x00000000aee10000  0x1f5000  C:\WINDOWS\SYSTEM32\ntdll.dll
0x00000000ad4c0000  0xbd000   C:\WINDOWS\System32\KERNEL32.DLL
0x00000000ac9a0000  0x2c8000  C:\WINDOWS\System32\KERNELBASE.dll
<snip>
0x0000000093580000  0xf9000   C:\WINDOWS\SYSTEM32\textinputframework.dll
0x00000000aebc0000  0x6b000   C:\WINDOWS\System32\WS2_32.dll
0x00000000aaf00000  0x33000   C:\WINDOWS\SYSTEM32\ntmarta.dll

Listdlls.exe -d textinputframework.dll给出：

<snip>
------------------------------------------------------------------------------
notepad.exe pid: 11524
Command line: "C:\WINDOWS\system32\notepad.exe"

Base                Size      Path
0x0000000093580000  0xf9000   C:\WINDOWS\SYSTEM32\textinputframework.dll

Listdlls.exe（不带参数）输出所有正在运行的进程的dll。