Alternative für MapAndLoad

[himitsu]

Zitat von Dalai:

In welcher Verbindung steht das mit der Frage, welche Architektur ein Executable hat?

Die Funktion MapAndLoad wird nur verwendet, um die Platform (Bitigkeit) der Anwendung auszulesen.

[Dalai]

Zitat von himitsu:

Die Funktion MapAndLoad wird nur verwendet, um die Platform (Bitigkeit) der Anwendung auszulesen.

Ja eben. Deswegen sehe ich nicht, was GetShortPathName damit zu tun hat.

PS: Die durch MapAndLoad gefüllte Datenstruktur LOADED_IMAGE lässt noch mehr zu, als nur die Plattform auszulesen.

Grüße
Dalai

[himitsu]

Die MapAndLoad-API gibt es nur als ANSI. (obwohl es die scheinbar erst seit WinXP gibt und die WinNT-Linie eigentlisch schon ewig auf Unicode ist)

Heißt, dass Unicode-Dateinamen damit nicht möglich sind und man sie z.B. durch GetShortPathName in ANSI umwandeln müsste.

[Dalai]

Ah, jetzt verstehe ich den Zusammenhang. Ja, das ist nachvollziehbar. Vielleicht könnte man mit den Funktionen MapViewOfFile und ImageNtHeader etwas machen, um die Datenstruktur IMAGE_NT_HEADERS füllen zu lassen. Halte ich für besser, als manuell in der EXE rumzusuchen.

Übrigens gibt's MapAndLoad im Win2k auch schon.

Grüße
Dalai

[mael]

Ich würde die Funktion selbst schreiben, ohne MapAndLoad, sondern einfach mit einem TFileStream, da ist die Dateigröße auch egal und das funktioniert performant.

Ich kann meinen getesteten Code hier teilen, um die Bittigkeit einer EXE zu prüfen, falsch gewünscht.

Edit: LoadLibraryEx() mit LOAD_LIBRARY_AS_DATAFILE, ist sonst was man verwendet um Module (DLLs/EXE usw.) in den Speicher zu laden, und dann dort direkt mit Pointern weiter zu arbeiten. Windows verwendet hier automatisch Paging und wird nur die relevanten Teile laden. Aber wenn etwas mit virtuellen Addressen zu tun hat, muss man trotzdem umrechnen. Und die Offsets in den Dateiheadern muss man auch beachten. Feste Offsets/Konstanten sollte man nicht verwenden, um an die richtige Stelle zu springen.

[mael]

Zitat von Bernhard Geyer:

https://superuser.com/questions/3584...bit-on-windows
Also
1, Suche "PE" in der Datei
2, Überspringe die beiden Null-Zeichen (\0\0)
3, Wenn jetzt d† kommt ($64 $86) kommt dann hat man AMD64

Besser ist es die Offsets die in den Headern angegeben sind zu verwenden. Dann funktioniert das mit allen Images, egal von welchem Compiler oder wie die optimiert wurden (solange sie korrekt sind natürlich).
Der Code bleibt trotzdem knapp, etwa eine Bildschirmseite.