python根据进程句柄找基地址

Python中可以使用ctypes库来实现根据进程句柄找基地址的功能。具体步骤如下：

1. 导入ctypes库，使用windll加载kernel32.dll库。

import ctypes
kernel32 = ctypes.windll.kernel32

2. 使用OpenProcess函数打开指定进程句柄。

process_handle = kernel32.OpenProcess(0x1F0FFF, False, process_id)

其中，0x1F0FFF表示打开进程的权限，process_id为进程ID。

3. 使用EnumProcessModules函数获取指定进程的模块句柄列表。

module_handles = (ctypes.c_ulong * 1024)()
module_handles_count = ctypes.c_ulong()
kernel32.EnumProcessModules(process_handle, ctypes.byref(module_handles), ctypes.sizeof(module_handles), ctypes.byref(module_handles_count))

其中，1024表示最多获取1024个模块句柄，module_handles为模块句柄列表，module_handles_count为实际获取的模块数量。

4. 遍历模块句柄列表，使用GetModuleInformation函数获取模块信息。

for i in range(module_handles_count.value):
    module_info = MODULEINFO()
    kernel32.GetModuleInformation(process_handle, module_handles[i], ctypes.byref(module_info), ctypes.sizeof(module_info))
    # 处理模块信息

其中，MODULEINFO为模块信息结构体，包括模块基地址和大小等信息。

5. 根据模块信息和进程句柄计算基地址。

base_address = module_info.lpBaseOfDll + address_offset

其中，address_offset为相对于模块基地址的偏移量。

完整代码示例：

import ctypes

kernel32 = ctypes.windll.kernel32

# 定义模块信息结构体
class MODULEINFO(ctypes.Structure):
    _fields_ = [("lpBaseOfDll", ctypes.c_void_p),
                ("SizeOfImage", ctypes.c_ulong),
                ("EntryPoint", ctypes.c_void_p)]

def get_base_address(process_id, address_offset):
    # 打开进程句柄
    process_handle = kernel32.OpenProcess(0x1F0FFF, False, process_id)
    if not process_handle:
        return None
    
    # 获取模块句柄列表
    module_handles = (ctypes.c_ulong * 1024)()
    module_handles_count = ctypes.c_ulong()
    kernel32.EnumProcessModules(process_handle, ctypes.byref(module_handles), ctypes.sizeof(module_handles), ctypes.byref(module_handles_count))
    
    # 遍历模块句柄列表，获取模块信息
    for i in range(module_handles_count.value):
        module_info = MODULEINFO()
        kernel32.GetModuleInformation(process_handle, module_handles[i], ctypes.byref(module_info), ctypes.sizeof(module_info))
        if module_info.lpBaseOfDll:
            # 计算基地址
            base_address = module_info.lpBaseOfDll + address_offset
            return base_address
    
    return None