如何使用WinDbg查找GetProcAddress所需的导出函数名称

这个问题我之前也碰到过，核心原因是PSAPI.dll本身是一个转发器DLL，它的大部分函数并没有自己的实现，而是直接转发给kernel32.dll中带K32前缀的对应函数。WinDbg里看到的符号差异就是这个机制导致的，下面给你拆解清楚并给出解决方案：

为什么WinDbg里的符号和你预期的不一样？ #

你用x psapi!*EnumProcessModules*查到的结果里：

• 00007ff9fe112210 PSAPI!_imp_K32EnumProcessModulesEx`：这是PSAPI.dll导入表中的符号，指向kernel32.dll里的实际函数实现；
• 00007ff9fe111360 PSAPI!EnumProcessModulesEx：这是PSAPI.dll导出的函数入口，本质上只是一个跳转指令，直接跳转到上面那个imp`开头的地址（也就是kernel32的K32版本函数）。

两种可行的解决方案 #

方案1：直接用PSAPI导出的函数名获取 #

PSAPI.dll确实导出了EnumProcessModules、EnumProcessModulesEx这些名字，所以你可以直接用这些名称调用GetProcAddress，代码示例如下：

#include <windows.h>

int main() {
    // 加载PSAPI.dll
    HMODULE hPsapi = LoadLibrary(L"psapi.dll");
    if (!hPsapi) {
        // 处理加载失败的情况
        return 1;
    }

    // 获取EnumProcessModules函数地址
    FARPROC pEnumProcessModules = GetProcAddress(hPsapi, "EnumProcessModules");
    if (pEnumProcessModules) {
        // 成功获取，可转换为对应函数指针使用
        // 比如：typedef BOOL(WINAPI* PFN_ENUMPROCESSMODULES)(HANDLE, HMODULE*, DWORD, LPDWORD);
        // PFN_ENUMPROCESSMODULES fnEnum = reinterpret_cast<PFN_ENUMPROCESSMODULES>(pEnumProcessModules);
    }

    // 获取EnumProcessModulesEx函数地址
    FARPROC pEnumProcessModulesEx = GetProcAddress(hPsapi, "EnumProcessModulesEx");
    if (pEnumProcessModulesEx) {
        // 同理处理
    }

    FreeLibrary(hPsapi);
    return 0;
}

方案2：直接从kernel32.dll获取K32前缀的函数 #

既然PSAPI的函数最终都转发到kernel32的K32版本，那你可以跳过PSAPI.dll，直接从kernel32获取，这样更直接，也避免了转发的额外开销，代码示例：

#include <windows.h>

int main() {
    // kernel32.dll默认已经加载，直接获取模块句柄
    HMODULE hKernel32 = GetModuleHandle(L"kernel32.dll");
    if (!hKernel32) {
        return 1;
    }

    // 获取K32EnumProcessModules函数地址
    FARPROC pK32EnumProcessModules = GetProcAddress(hKernel32, "K32EnumProcessModules");
    if (pK32EnumProcessModules) {
        // 转换为函数指针使用
    }

    // 获取K32EnumProcessModulesEx函数地址
    FARPROC pK32EnumProcessModulesEx = GetProcAddress(hKernel32, "K32EnumProcessModulesEx");
    if (pK32EnumProcessModulesEx) {
        // 同理处理
    }

    return 0;
}

额外提示 #

在Windows Vista及以后的系统中，PSAPI的大部分功能已经整合到kernel32.dll里了，PSAPI.dll只是为了兼容旧程序保留的转发器。所以更推荐方案2，直接操作kernel32的K32前缀函数，既稳定又高效。

内容的提问来源于stack exchange，提问作者benams