DllMain详解

1  DLL的进入/退出函数 
1.1  DllMain简介 
跟exe有个main或者WinMain入口函数一样，DLL也有一个入口函数，就是DllMain。以“DllMain”为关键字，来看看MSDN帮助文档怎么介绍这个函数的。 
The DllMain function is an optional method of entry into a dynamic-link library (DLL)。（简要翻译：对于一个Dll模块，DllMain函数是可选的。）这句话很重要，很多初学者可能都认为一个动态链接库肯定要有DllMain函数。其实不然，像很多仅仅包含资源信息的DLL是没有DllMain函数的。 
1.2 何时调用DllMain 
       系统是在什么时候调用DllMain函数的呢？静态链接时，或动态链接时调用LoadLibrary和FreeLibrary都会调用DllMain函数。DllMain的第三个参数fdwReason指明了系统调用Dll的原因，它可能是DLL_PROCESS_ATTACH、DLL_PROCESS_DETACH、DLL_THREAD_ATTACH和DLL_THREAD_DETACH。以下从这四种情况来分析系统何时调用了DllMain。             
1.2.1 DLL_PROCESS_ATTACH 
       大家都知道，一个程序要调用Dll里的函数，首先要先把DLL文件映射到进程的地址空间。要把一个DLL文件映射到进程的地址空间，有两种方法：静态链接和动态链接的LoadLibrary或者LoadLibraryEx。 
       当一个DLL文件被映射到进程的地址空间时，系统调用该DLL的DllMain函数，传递的fdwReason参数为DLL_PROCESS_ATTACH。这种调用只会发生在第一次映射时。如果同一个进程后来为已经映射进来的DLL再次调用LoadLibrary或者LoadLibraryEx，操作系统只会增加DLL的使用次数，它不会再用DLL_PROCESS_ATTACH调用DLL的DllMain函数。不同进程用LoadLibrary同一个DLL时，每个进程的第一次映射都会用DLL_PROCESS_ATTACH调用DLL的DllMain函数。 
       可参考DllMainTest的DLL_PROCESS_ATTACH_Test函数。 
1.2.2 DLL_PROCESS_DETACH 
       当DLL被从进程的地址空间解除映射时，系统调用了它的DllMain，传递的fdwReason 
值是DLL_PROCESS_DETACH。当DLL处理该值时，它应该执行进程相关的清理工作。 
       那么什么时候DLL被从进程的地址空间解除映射呢？两种情况： 
       ◆FreeLibrary解除DLL映射（有几个LoadLibrary，就要有几个FreeLibrary） 
       ◆进程结束而解除DLL映射，当然实在进程结束前还没有这个解除DLL的映射的情况。（如果进程的终结是因为调用了TerminateProcess，系统就不会用DLL_PROCESS_DETACH来调用DLL的DllMain函数。这就意味着DLL在进程结束前没有机会执行任何清理工作。） 
       注意：当用DLL_PROCESS_ATTACH调用DLL的DllMain函数时，如果返回FALSE，说明没有初始化成功，系统仍会用DLL_PROCESS_DETACH调用DLL的DllMain函数。因此，必须确保没有清理那些没有成功初始化的东西。 
       可参考DllMainTest的DLL_PROCESS_DETACH_Test函数。 
1.2.3 DLL_THREAD_ATTACH 
       当进程创建一线程时，系统查看当前映射到进程地址空间中的所有DLL文件映像，并用值DLL_THREAD_ATTACH调用DLL的DllMain函数。 
新创建的线程负责执行这次的DLL的DllMain函数，只有当所有的DLL都处理完这一通知后，系统才允许线程开始执行它的线程函数。 
注意跟DLL_PROCESS_ATTACH的区别，我们在前面说过，第n(n>=2)次以后地把DLL映像文件映射到进程的地址空间时，是不再用DLL_PROCESS_ATTACH调用DllMain的。而DLL_THREAD_ATTACH不同，进程中的每次建立线程，都会用值DLL_THREAD_ATTACH调用DllMain函数，哪怕是线程中建立线程也一样。 
1.2.4 DLL_THREAD_DETACH 
       如果线程调用了ExitThread来结束线程（线程函数返回时，系统也会自动调用ExitThread），系统查看当前映射到进程空间中的所有DLL文件映像，并用DLL_THREAD_DETACH来调用DllMain函数，通知所有的DLL去执行线程级的清理工作。 
       注意：如果线程的结束是因为系统中的一个线程调用了TerminateThread，系统就不会用值DLL_THREAD_DETACH来调用所有DLL的DllMain函数。 
1.3  为DllMain换名 
在早期的SDK版本中，DllMain是叫做DllEntryPoint。其实有一件鲜为人知的事：一个Dll的入口函数名是可以可以自己定义的。下面我将以VC++6.0为例来演示如何更改。首先要说明一点，虽然DllMain可以换成其他函数名，但函数的参数和返回值必须和DllMain一样。而且这个函数要为__stdcall类型（DllMain本身也是__stdcall类型）。 
打开VC++菜单Project/Settings/Link tab/ Output in the Category box，如下图，在Entry-point symbol中输入要替换DllMain的函数名（当然这个函数名是你程序中已经实现的函数）。Entry-point symbol是干么的呢？可以以关键字“Entry-point symbol”搜索MSDN帮助文档查看，搜索时，打钩“仅搜索标题”会更快定位。 
 
         按OK后，如果马上编译的话会出现如下错误： 
LIBCMTD.lib(crt0.obj) : error LNK2001: unresolved external symbol _main
Debug/Dll.dll : fatal error LNK1120: 1 unresolved externals 
打开VC++菜单Project/Settings/C/C++选项卡，如下图，在Project Options：末尾的地方添加”/D”（图中蓝色高亮的地方），要注意位置，我试了，要把/D放到/GZ后面也会链接错误，我也不懂为什么，^_^。按OK，再次编译，成功。大家可以自己测试下到底有没有更改成功，什么，如果测试？打出调式信息啊。 
 
1.4 DisableThreadLibraryCalls 
看帮助就知道它是干么用的： 
The DisableThreadLibraryCalls function disables the DLL_THREAD_ATTACH and DLL_THREAD_DETACH notifications for the dynamic-link library (DLL) specified byhLibModule. This can reduce the size of the working code set for some applications.

动态载入 DLL

动态载入方式是指在编译之前并不知道将会调用哪些 DLL 函数， 完全是在运行过程中根据需要决定应调用哪些函数。

方法是：用 LoadLibrary 函数加载动态链接库到内存，用 GetProcAddress函数动态获得 DLL 函数的入口地址。当一个 DLL 文件用 LoadLibrary 显式加载后，在任何时刻均可以通过调用 FreeLibrary 函数显式地从内存中把它给卸载。

动态调用使用的 Windows API 函数主要有 3 个， 分别是 LoadLibrary、 GetProcAddress 和FreeLibrary。

我们分别详细介绍这三个函数的功能，因为无论学习编程还是逆向这是三个函数都是非常常用滴。


（1）LoadLibrary 函数

注：Delphi 中还提供了 SafeLoadLibrary 函数，它封装了 Loadlibrary 函数，可以装载由 Filename 参数指定的 WindowsDLL或 Linux 共享对象。它简化了DLL的装载并且使装载更加安全。

[格式]：

1. function LoadLibrary(LibFileName : PChar): Thandle;

复制代码

[功能]：加载由参数 LibFileName 指定的 DLL 文件。

[说明]：参数 LibFileName 指定了要装载的 DLL 文件名，如果 LibFileName 没有包含一个路径，系统将按照：当前目录、Windows 目录、Windows 系统目录、包含当前任务可执行文件的目录、列在 PATH 环境变量中的目录等顺序查找文件。

如果函数操作成功，将返回装载 DLL 库模块的实例句柄，否则，将返回一个错误代码，错误代码的定义如下表所示。

错误代码

  含义

  0
  系统内存不够，可执行文件被破坏或调用非法  2
  文件没有被发现
  3
  路径没有被发现
  5
  企图动态链接一个任务错误或者有一个共享或网络保护错误
  6
  库需要为每个任务建立分离的数据段    8
  没有足够的内存启动应用程序    10
  Windows  版本不正确    11
  可执行文件非法或不是Windows  应用程序，或在.  EXE映像中有错误    12
  应用程序为一个不同的操作系统设计（如  OS/2）    13
  应用程序为  MS  DOS   4. 0  设计    14
  可执行文件的类型不知道    15
  试图装载一个实模式应用程序（为早期Windows  版本设计）
  16
  试图装载包含可写的多个数据段的可执行文件的第二个实例    19
  试图装载一个压缩的可执行文件（文件必须被解压后才能被装载）    20
  DLL  文件非法
  21
  应用程序需要  32  位扩展

假如在应用程序中用 LoadLibrary 函数装入某一个 DLL 前， 其他应用程序已把该 DLL 装入内存中了，则系统将不再装入该 DLL 的另一个实例，而是使该 DLL 的“引用计数”加 1 。


（2）GetProcAddress 函数

[格式]：

1. function GetProcAddress(Module:Thandle; ProcName:PChar): TfarProc;

复制代码

[功能]：返回参数 Module 指定的模块中，由参数 ProcName 指定的过程或函数的入口地址。

[说明]：参数 Module 包含被调用函数的 DLL 句柄，这个值由 LoadLibrary 返回， ProcName
是指向含有函数名的以 nil 结尾的字符串指针，或者可以是函数的次序值，但大多数情况下，用函数名是一种更稳妥的选择。如果该函数执行成功，则返回 DLL 中由参数 ProcName 指定的过程或函数的入口地址，否则返回 nil 。


（3）FreeLibrary 函数

[格式]：

1. procedure  FreeLibrary(Module: Thandle);

复制代码

[说明]：将由参数 Module 指定的 DLL 文件从内存中卸载 1 次。

[说明]：Module 为 DLL 库的句柄。这个值由 LoadLibrary 返回。由于 DLL 在内存中只装载一次，因此调用 FreeLibrary 首先使 DLL 的引用计数减 1，如果计数减为 0 则卸载该 DLL。

[注意]：每调用一次 LoadLibrary 函数就应调用一次 FreeLibrary 函数，以保证不会有多余的库模块在应用程序结束后仍留在内存中，否则导致内存泄漏。

顶

0

踩