首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 编程技术
    3. 发新帖
[求助]加载dll除了LoadLibrary还有其他方法？
发表于: 2013-5-16 19:40 7115

[求助]加载dll除了LoadLibrary还有其他方法？

xiaolove雪 活跃值
2013-5-16 19:40
7115
我尝试hook 游戏的CEGUI模块，也就是CEGUIBase.dll.
具体流程是：创建游戏进程->暂停掉(CREATE_SUSPENDED)->远程注入myDll->恢复主线程
其中myDLL具体干的就是hook LoadLibraryA 和 LoadLibraryW

int WINAPI DllMain( HINSTANCE hDllHandle, DWORD dwReason, LPVOID lpreserved )
{
	switch(dwReason)
	{
	case DLL_PROCESS_ATTACH:
		OutputDebugString("attached.");
		CreateThread(NULL,0,(LPTHREAD_START_ROUTINE)threadHook,NULL,NULL,NULL);
		break;
	case DLL_PROCESS_DETACH:
		OutputDebugString("detached..");
		break;
	case DLL_THREAD_ATTACH:
	case DLL_THREAD_DETACH:
		break;
	}

	return TRUE;
}


hook后只是输出下加载的dll名字
HMODULE WINAPI newLoadLibrary(LPCTSTR lpFileName)
{

	OutputDebugString(lpFileName);
	return oloadLibrary(lpFileName);
}


结果dbgView能看到大部分加载的dll，但就是没有 CEGUIBase.dll。。奇怪，我试下其他sample demo 也看不到CEGUIBase.dll的加载时机。。
但程序明明加载了这个dll，请问它是怎样加载的，什么时候加载的，够郁闷的

[课程]FART 脱壳王！加量不加价！FART作者讲授！

收藏
免费 ・0
支持
分享
最新回复 (10)
yy大雄
雪    币： 183
活跃值： (1058)
能力值： ( LV3，RANK：30 )
在线值：
发帖
回帖
粉丝
私信
2 楼
试下createfile的断点呢
2013-5-16 19:48
0
cvcvxk
雪    币： 8865
活跃值： (2379)
能力值： ( LV12，RANK：760 )
在线值：
发帖
回帖
粉丝
私信
3 楼
基础知识：导入表的DLL加载时间比你想象的早~~
2013-5-16 20:52
0
xiaolove雪
雪    币： 220
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
看了一楼的建议，把CreateFileW hook掉，还是没发现CEGUIBase.dll。。


但奇怪的是，我CreateProcess并且暂停，查看了下进程，CEGUIBase.dll还没加载呢。。
2013-5-16 21:10
0
Rookietp
雪    币： 1042
活跃值： (470)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
静态链接的DLL好像不会经过API？ 印象中是的。
2013-5-16 21:44
0
Popluna
雪    币： 8
活跃值： (28)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
6 楼
V神 回答的字字珠玑

程序导入表在程序主线程跑起来之前就加载完了
2013-5-16 22:28
0
暗月之魂
雪    币： 53
活跃值： (523)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
LdrLoadDll
2013-5-20 12:56
0
chengqiyan
雪    币： 261
活跃值： (537)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
8 楼
初始化列表加载顺序啦。。_LDR
2013-5-24 00:23
0
逍遥冷月
雪    币： 101
活跃值： (43)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
9 楼
loadlibraryex
LdrLoadDll
甚至可以createfile/createfilemapping读到内存里手动展开dll环境
2013-5-24 08:06
0
kman
雪    币： 155
活跃值： (20)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
10 楼
解决你的问题的简单方法：扔掉你那见鬼的mydll.dll，直接在进程创建前父进程通过VirtualAlloc/WriteProcessMemory hook NtMapViewOfSection（包括shell code)

这种技术甚至可以拦截ntdll/kernel32/user32的加载
2013-5-24 11:47
0
遗失灵魂
雪    币： 220
活跃值： (117)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
11 楼
膜拜蛇叔

刚看了下 加载的时候 ,倒入表的东西就一起加载进去了.
那时候主线程都还没启来
2013-6-2 12:53
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//