外部：

.版本 2

‘ WOW64的32位程序其实拥有64位程序的全部功能,包括32注入64位、枚举64位进程模块、Hook64位模块、调用64位API等等等等….
‘ 因为WOW64程序不是完全的虚拟化的，是伪虚拟化，本身就是一个64位进程,只是自己以为是32位程序而已. 所以Wow64进程 里面
‘ 既有 64位环境结构,又有32位环境结构, 使用api NtWow64QueryInformationProcess64 可以获取 进程的64位PEB结构地址,
‘ 使用api NtWow64ReadVirtualMemory64 可以读取进程的64位内存地址的数据. 通过PEB64结构进行遍历进程的64位模块!

读取64位的进程数据：

.版本 2
.支持库 spec

局_进程句柄 ＝ OpenProcess (1040, 0, 局_进程ID) ‘ PROCESS_QUERY_INFORMATION = 1024 | PROCESS_VM_READ = 16 加起来 = 1040
局_缓冲区 ＝ 取空白字节集 (8)
NtWow64ReadVirtualMemory64 (局_进程句柄, 4293066752, 局_缓冲区, 8, 0)
调试输出 (取字节集数据 (局_缓冲区, #长整数型, ))

dll：

.版本 2

.DLL命令 NtWow64ReadVirtualMemory64, 整数型, “ntdll.dll”, “NtWow64ReadVirtualMemory64”
.参数 hProcess, 整数型
.参数 pMemAddress, 长整数型
.参数 pBuffer, 字节集
.参数 nSize, 长整数型
.参数 nReturnSize, 整数型

.版本 2

.DLL命令 OpenProcess, 整数型, “kernel32.dll”, “OpenProcess”, , 将句柄返回给过程对象
.参数 进程对象, 整数型, , dwDesiredAccess
.参数 继承句柄, 整数型, , bInheritHandle
.参数 进程标识符, 整数型, , dwProcessId

内部：

用 X64_call