从PktmonApi.dll加载函数异常：0x1无效地址问题排查

为什么GetProcAddress返回0x1的无效地址？ #

PktmonApi.dll是一个转发DLL，它的导出函数并非自身实现，而是将调用转发给其他系统组件（比如pktmon.exe）。当你调用GetProcAddress获取PktmonStart时，返回的0x1不是真实的函数地址，而是Windows用来标记“函数已导出，但需转发到目标模块的序号1”的特殊标记。由于转发目标是pktmon.exe（可执行文件而非DLL），系统无法在进程空间中加载该目标的导出函数，因此这个地址完全无效，直接调用必然导致崩溃。

为什么官方文档中的PacketMonitorInitialize找不到？ #

微软官方文档里的PacketMonitorInitialize等函数属于旧版Pktmon的公开API，在Windows 11的更新中，Pktmon的架构已调整，PktmonApi.dll不再导出这些公开接口，转而导出和命令行工具pktmon.exe对应的内部函数（比如PktmonStart对应pktmon start命令）。这些内部函数没有公开的调用签名和文档，属于未公开的实现细节，不支持第三方调用。

可行的替代方案 #

如果需要在应用中使用Pktmon的网络监控功能，官方支持的方式是直接调用系统自带的pktmon.exe命令行工具：

• 用CreateProcess启动pktmon.exe并传递对应命令参数（比如pktmon start --etw）
• 捕获并解析命令行输出，或读取Pktmon生成的ETL日志文件（默认路径为pktmon.etl）

示例代码（启动Pktmon监控）：

#include <windows.h>
#include <iostream>

int main() {
    STARTUPINFO si = { sizeof(si) };
    PROCESS_INFORMATION pi;

    // 启动pktmon start命令，监控所有进程的ETW流量
    BOOL result = CreateProcess(
        TEXT("C:\\Windows\\System32\\pktmon.exe"),
        TEXT("pktmon start --etw -p 0"),
        NULL, NULL, FALSE, 0, NULL, NULL, &si, &pi
    );

    if (result) {
        std::cout << "Pktmon started successfully" << std::endl;
        WaitForSingleObject(pi.hProcess, INFINITE);
        CloseHandle(pi.hProcess);
        CloseHandle(pi.hThread);
    } else {
        std::cout << "Failed to start pktmon, error: " << GetLastError() << std::endl;
    }

    return 0;
}

注意事项 #

• 调用pktmon.exe需要管理员权限，否则会执行失败
• 可通过pktmon stop停止监控，pktmon etl convert将ETL日志转换为可读格式

内容的提问来源于stack exchange，提问作者Lauchmelder