我正在尝试编写手动映射器，以便将 DLL 注入其他进程。

我已经到了点，我已经写了一个简单的“Hello World”dll，我试图注入另一个进程。

我遇到了一个问题，我的示例 Hello world DLL 依赖于 user32.dll 中的函数，这意味着我也必须映射那个。user32.dll 本身依赖于其他 dll，这些 dll 是通过 API Set 架构导入的。

记下我标记的导入函数的确切命名：“EventActivityIdControl”

事实证明，这个特定 api 的函数可以在 advapi32.dll 中找到

如果我在 CFF 资源管理器中查看该 dll，您会发现有正确的导出

但是，当我手动解析 advapi32.dll 并查看导出时，我从 ntdll.dll 获得转发导出，带有前缀“Ewt”，这弄乱了我的字符串比较。

这个前缀似乎被 CFF explorer 和其他类似的软件省略了。

我找不到有关此行为/模式的任何信息。谁能解释一下，为什么会这样，或者我可以在哪里找到更多相关信息？