DLL的进入点函数DllMain

1DLL 的进入点函数 DllMain

BOOL APIENTRY DllMain( HANDLE hModule,

DWORD ul_reason_for_call,

LPVOID lpReserved

)

{

switch (ul_reason_for_call)

{

return TRUE;

}

DLL_PROCESS_ATTACH:当 DLL 初次映射到进程的地址空间时，系统将调用 DllMain，

并为 ul_reason_for_call 传递值 DLL_PROCESS_ATTACH。此时 DLL 可以执行任何与进

程相关的初始化。实例，如果我将 DLL 注入到一个新的进程后，如果要自动执行一些任务，

则代码写在 case DLL_PROCESS_ATTACH:后。

DLL_PROCESS_DETACH：当 DLL 从进程的地址空间被卸载后，系统将调用 DllMain，

并为 ul_reason_for_call 传递值 DLL_PROCESS_DETACH。例如调用 FreeLibrary,先调用

DllMain 完成 DLL_PROCESS_DETACH 通知后，才从 FreeLibrary 中返回。

DLL_THREAD_ATTACH:当在一个进程中创建线程时，系统要察看当前映射到该进程的地

2 DLL 注入

2.1 通过 windows 挂钩消息来注入 DLL

先看下面代码：

HHOOK hHook=SetWindowsHookEx(WH_GETMESSAGE,GetMsgProc,hinstDll,0);

WH_GETMESSAGE:指出钩子的类型，是消息钩子。

GetMsgProc：窗口准备处理消息的时候，系统调用的函数地址？？？？？？？？？？

hinstDll：DLL 被映射到的进程的地址空间中的 RVA。

0：挂钩所有的 GUI 进程。

下面我们看看发生了什么：

1，进程 B 的一个线程准备把一条消息发送到一个窗口。

DLL。我们似乎只需要调用

CreateRemoteThread(hRemoteProcess,NULL,0,LoadLibraryA,"c://mylib.dll",0,NULL)即可。

但不可以。

错误一，LoadLibraryA 不能直接作为参数传入，因为这导致远程线程执行一些莫名其妙的

东西，很可能造成访问违规。

解决办法：

pfnAddr=(PTHREAD_START_ROUTINE)GetProcAddress(GetModuleHandle(TEXT("Ker

nel32")),"LoadLibraryA");然后把 pfnAddr 传入。

错误二，不可以直接传入"c://mylib.dll"，因为这段缓冲区在本进程，不在远程线程内。应

该在远程线程申请空间（VirtualAllocEx），并 把"c://mylib.dll"写入这段远程线程空间

（WriteProcessMemory）。

示例代码:

#include <windows.h>

#include <stdio.h>

DWORD pId;

void *pFileRemote;

BOOL fok;

sizedllpath=lstrlenA( dllpath ) + 1;

printf("size:%d",sizedllpath);

HWND hWinPro=::FindWindow("ProgMan",NULL);//获得 explorer 窗口

if(!hWinPro)

printf("Exploere 没有启动");

else

hRemoteProcess=::OpenProcess(PROCESS_ALL_ACCESS|

PROCESS_VM_WRITE,false,pId);

pFileRemote=::VirtualAllocEx(hRemoteProcess,NULL,sizedllpath,MEM_COMMIT|

MEM_RESERVE,PAGE_EXECUTE_READWRITE);

}

fok=::WriteProcessMemory(hRemoteProcess,pFileRemote,

(LPVOID)dllpath,sizedllpath,&dwWritten);

printf("实际写入的字节数:%d/n",dwWritten);

printf("需要写入的字节数:%d/n",sizedllpath);

if (fok==false)

{

printf("WriteProcessMemory error/n");

return;

}

if(pRemoteThread==NULL)

return;

else

printf("success!/n");

}

}

结构化异常处理（SEH）

结构化异常处理包括两部分：结束处理和异常处理。

4 结束处理

4.1 形式__try