Función RtlGetUnloadEventTraceEx

Recupera el tamaño y la ubicación de la lista de módulos descargados dinámicamente para el proceso actual.

Sintaxis

VOID WINAPI RtlGetUnloadEventTraceEx(
  _Out_ PULONG *ElementSize,
  _Out_ PULONG *ElementCount,
  _Out_ PVOID  *EventTrace
);

Parámetros

ElementSize [out]

Puntero a una variable que contiene el tamaño de un elemento de la lista.

ElementCount [out]

Puntero a una variable que contiene el número de elementos de la lista.

EventTrace [out]

Puntero a una matriz de estructuras de RTL_UNLOAD_EVENT_TRACE . Para obtener más información, vea la sección Comentarios.

Valor devuelto

Esta función no devuelve ningún valor.

Observaciones

El cargador almacena información de eventos descargada en ubicaciones que se pueden leer entre procesos aprovechando el hecho de que Ntdll.dll se carga en la misma dirección base en todos los procesos. Cuando un depurador necesita consultar información del módulo descargado, llama a esta función para determinar la dirección en la que residen las variables y, a continuación, consulta la memoria virtual en el proceso de destino en esas direcciones para leer los valores reales.

Cada elemento de la lista se define de la siguiente manera.

typedef struct _RTL_UNLOAD_EVENT_TRACE {
    PVOID BaseAddress;   // Base address of dll
    SIZE_T SizeOfImage;  // Size of image
    ULONG Sequence;      // Sequence number for this event
    ULONG TimeDateStamp; // Time and date of image
    ULONG CheckSum;      // Image checksum
    WCHAR ImageName[32]; // Image name
} RTL_UNLOAD_EVENT_TRACE, *PRTL_UNLOAD_EVENT_TRACE;

Esta función no tiene ningún archivo de encabezado asociado. La biblioteca de importación asociada, Ntdll.lib, está disponible en el Kit de controladores de Windows (WDK). También puede llamar a esta función mediante las funciones LoadLibrary y GetProcAddress .

Requisitos

Requisito	Value
Archivo DLL	Ntdll.dll