wow64进程中的x64模块？

Question

我有一个小的32位进程，我正在win7 x64上调试，我看到它加载了"C:\windows\sysWow64\ntdll.dll“，但也加载了"C:\windows\system32\ntdll.dll”。

我知道x64模块和x86模块不能混合，但它们在这里...混合...

怎么会这样呢？

Answer 1

这是WOW64的一个特殊“特性”，请参阅MSDN上的this article。相关的部分是：

WOW64模拟器在用户模式下运行。它提供了32位版本的Ntdll.dll和处理器内核之间的接口，并拦截内核调用。WOW64仿真器由以下DLL组成：

• Wow64.dll为Ntoskrnl.exe入口点函数提供了核心仿真基础结构和块。

• Wow64Win.dll为Win32k.sys入口点函数提供了块。

• Wow64Cpu.dll是一个抽象化主机处理器特性的接口库。(仅限英特尔安腾)

• IA32Exec.bin包含x86软件仿真器。(仅限英特尔安腾)

• Wowia32x.dll提供IA32Exec.bin和WOW64之间的接口。

这些DLL以及64位版本的Ntdll.dll是唯一可以加载到32位进程中的64位二进制文件。