是否存在遍历运行中COM类工厂的API？如何发现其可创建对象？

核心结论 #

首先明确：Windows没有公开的官方API能直接遍历所有进程里通过CoRegisterClassObject()注册的类工厂实例。这类注册信息属于进程内部的私有状态，系统没提供全局枚举的接口。

替代思路与方案 #

1. 未公开内部接口（不推荐） #

Windows底层有一些没文档化的函数（比如SGetIClassList）能尝试枚举类工厂，但这类接口完全没有官方支持，不同Windows版本间兼容性极差，还可能触发系统安全防护，只适合逆向研究，绝对不能用到生产环境里。

2. 进程注入+Hook（仅限调试/研究场景） #

如果是针对特定进程的需求，你可以通过DLL注入的方式，Hook目标进程的CoRegisterClassObject()和CoRevokeClassObject()函数，在类工厂注册或注销时记录下对应的CLSID和类工厂指针，进而获取相关信息。具体步骤大概是：

• 写一个用于注入的DLL，里面Hook COM注册相关的函数
• 把DLL注入目标进程（比如你提到的svchost.exe）
• 拦截注册调用，保存CLSID和类工厂实例的对应关系
• 通过类工厂的IClassFactory::CreateInstance()方法尝试创建对象，再查询对象的接口信息

这种方法需要你对COM机制和Windows注入技术有深入了解，而且会受进程权限、系统防护（比如SMCFG、HVCI）的限制。

3. ROT的补充作用 #

你说得没错，CoRegisterClassObject()不会把类工厂放进ROT，但如果某个类工厂创建的对象被显式注册到ROT（通过RegisterActiveObject()），那你可以用GetRunningObjectTable()枚举ROT里的对象，间接反向关联到对应的类工厂——但这只能覆盖极少一部分场景。

4. 系统组件的特定枚举方式 #

对于系统自带的COM组件，部分会通过服务配置、注册表扩展项（比如HKLM\Software\Classes\CLSID下的LocalServer32/InprocServer32）间接暴露信息，但这没法覆盖那些没在注册表发布的动态注册类工厂。

总结 #

如果是合法的调试或研究需求，进程内Hook是相对可行的方案，但没有通用的公开API支持。生产环境里，建议依赖组件的官方文档或注册信息来获取类工厂相关内容，别去尝试枚举那些未公开的运行中实例。

内容的提问来源于stack exchange，提问作者Joseph Willcoxson