能否不打开PE文件直接访问IMAGE_OPTIONAL_HEADER64？

当然可以！你通过ZwQuerySystemInformation拿到的RTL_PROCESS_MODULE_INFORMATION里的ImageBase字段，本质就是该模块在内存中已经映射好的基地址——而PE文件加载到内存后，其头部结构和磁盘上的布局完全一致（重定位不影响头部），所以你完全可以直接从这个内存地址出发解析PE结构，根本不需要打开磁盘上的PE文件。

核心思路 #

内存中的PE头部结构和磁盘文件的头部是一一对应的，步骤非常直接：

• 从ImageBase获取IMAGE_DOS_HEADER，验证DOS签名（e_magic == IMAGE_DOS_SIGNATURE）
• 通过DOS头的e_lfanew偏移找到IMAGE_NT_HEADERS64，验证PE签名（Signature == IMAGE_NT_SIGNATURE）
• 直接访问NT头中的OptionalHeader字段，就是你要的IMAGE_OPTIONAL_HEADER64

示例代码（内核模式） #

以下是内核态下的完整示例，假设你已经通过ZwQuerySystemInformation获取到了目标模块的RTL_PROCESS_MODULE_INFORMATION结构体：

#include <ntddk.h>

// 显式定义64位PE NT头结构
typedef struct _IMAGE_NT_HEADERS64 {
    DWORD Signature;
    IMAGE_FILE_HEADER FileHeader;
    IMAGE_OPTIONAL_HEADER64 OptionalHeader;
} IMAGE_NT_HEADERS64, *PIMAGE_NT_HEADERS64;

NTSTATUS GetOptionalHeaderFromModule(PRTL_PROCESS_MODULE_INFORMATION ModuleInfo, PIMAGE_OPTIONAL_HEADER64* OutOptionalHeader) {
    if (!ModuleInfo || !OutOptionalHeader) {
        return STATUS_INVALID_PARAMETER;
    }

    // 1. 读取DOS头并验证签名
    PIMAGE_DOS_HEADER dosHeader = (PIMAGE_DOS_HEADER)ModuleInfo->ImageBase;
    if (dosHeader->e_magic != IMAGE_DOS_SIGNATURE) {
        DbgPrint("[ERROR] Invalid DOS signature for module: %s\n", ModuleInfo->FullPathName + ModuleInfo->OffsetToFileName);
        return STATUS_INVALID_IMAGE_FORMAT;
    }

    // 2. 定位NT头并验证PE签名
    PIMAGE_NT_HEADERS64 ntHeaders = (PIMAGE_NT_HEADERS64)((PUCHAR)dosHeader + dosHeader->e_lfanew);
    if (ntHeaders->Signature != IMAGE_NT_SIGNATURE) {
        DbgPrint("[ERROR] Invalid PE signature for module: %s\n", ModuleInfo->FullPathName + ModuleInfo->OffsetToFileName);
        return STATUS_INVALID_IMAGE_FORMAT;
    }

    // 3. 返回OptionalHeader指针
    *OutOptionalHeader = &ntHeaders->OptionalHeader;
    return STATUS_SUCCESS;
}

// 使用示例（需先获取目标模块的RTL_PROCESS_MODULE_INFORMATION）
// VOID SampleKernelRoutine() {
//     PRTL_PROCESS_MODULE_INFORMATION targetModule = ...; // 从ZwQuerySystemInformation结果中提取
//     PIMAGE_OPTIONAL_HEADER64 optHeader = NULL;
//     NTSTATUS status = GetOptionalHeaderFromModule(targetModule, &optHeader);
//     if (NT_SUCCESS(status)) {
//         // 访问OptionalHeader的字段，比如入口点、内存大小等
//         DbgPrint("Module Entry Point: 0x%llX\n", optHeader->AddressOfEntryPoint + optHeader->ImageBase);
//         DbgPrint("Module Memory Size: 0x%X bytes\n", optHeader->SizeOfImage);
//     }
// }

注意事项 #

• 这段代码仅适用于内核模式，因为ZwQuerySystemInformation和RTL_PROCESS_MODULE_INFORMATION是内核态专属API，用户态无法直接调用。
• 如果需要兼容32位模块，需切换使用IMAGE_NT_HEADERS32结构，避免类型不匹配导致的错误。
• 内核态访问其他进程内存时，建议先用MmIsAddressValid检查地址有效性，防止非法访问导致蓝屏。

内容的提问来源于stack exchange，提问作者Mecanik