eWOW64Ext v1.1：易语言实现64位模块加载与进程操作教程

资源摘要信息: "eWOW64Ext v1.1 是一款专门为易语言编写的模块，它能够在64位操作系统上加载和调用任意32/64位模块，实现了64位汇编及进程的读写功能。它通过利用64位操作系统的wow64子系统来切换地址空间，允许32位程序执行64位操作。本模块功能强大，不仅支持易语言编写的程序调用64位ntdll.dll中的所有函数，还支持直接使用64位函数读写64位进程，且提供了一些常用函数的直接调用接口。此外，它还支持加载任意32/64位DLL，包括kernel32.dll，并提供了内存加载功能。模块也包含了多个辅助函数和易内部命令，用于辅助操作64位系统和进程。" 在详细说明该模块的知识点前，首先需要了解几个基础概念： 1. **WOW64**: WOW64是Windows 32-bit on Windows 64-bit的缩写，它是一个在64位Windows系统中模拟32位环境的子系统。WOW64允许32位应用程序在64位操作系统中运行，模拟整个32位环境来避免软件兼容性问题。 2. **64位汇编与32位汇编的区别**: 64位汇编语言与32位的主要区别在于它们能够处理的寄存器大小不同，因此能够处理的数据宽度也不一样。64位系统能够使用更大的地址空间，支持更多的内存访问。 3. **ntdll.dll**: 这是Windows NT系统中一个非常重要的动态链接库，包含了操作系统级别的内部函数，这些函数可以被其它组件调用来执行底层的操作系统任务。 接下来，我们可以详细展开eWOW64Ext v1.1模块的知识点： - **模块原理**: 该模块利用wow64子系统切换到64位地址空间，调用ntdll.dll的相关函数。这种方式与传统的调用NtWow64xxx系列函数实现的方式有本质的不同。模块还提供了一种机制来处理不同位数的地址空间切换。 - **模块功能**: 该模块能够置入易语言的纯64位汇编代码，允许易语言程序调用64位ntdll.dll函数，实现32位程序无法直接执行的64位功能。例如，它支持直接读写64位进程的内存，而无需通过NtWow64系列函数。模块还提供了一些函数的直接调用接口，并能够加载任意32/64位的DLL，实现易语言对64位DLL的调用。 - **辅助函数与易内部命令**: 这些函数和命令提供了操作64位地址空间的多种方式，比如判断系统是否为64位、获取64位进程信息、计算哈希值等。特别是一些用于内存操作的函数，如X64MemCopy、X64GetLong64等，它们支持直接在64位进程中读写数据。 - **32位与64位版本**: 模块在32位系统中不会开启64位功能，但仍然可以使用其32位功能，从而保持了良好的兼容性。 - **新增功能**: v1.1版本中新增了对部分32位DLL的内存加载支持，以及OpenProcess64、HeapAlloc64等函数，加强了对64位系统的操作能力。 - **命令简述**: 部分命令如fn_WOW64Enabled、fn_ProcessIsX64、fn_CalcModOrFuncHash等，有助于开发者在编写程序时判断系统环境并进行必要的地址空间操作。命令如X64Call、X64MemCopy、X64GetLong64等，为易语言程序提供了直接在64位环境执行操作的能力。 - **使用环境与BUG反馈**: 模块作者要求用户提供错误重现代码及执行环境，以便于及时更新模块修复BUG。 最后，本模块的源码是高级教程级别的，适合有编程基础和对64位系统底层操作有一定了解的开发者。压缩包文件列表显示了包含的主要文件，如模块主文件eWOW64Ext.e、示例程序test.e、源码文件eWOW64Ext.ec、资源文件pic.png，以及模块的开源许可证文件lgpl-3.0.txt。