DLL劫持原理学习

0x01 什么是DLL？

百度百科：
DLL(Dynamic Link Library)文件为动态链接库文件，又称“应用程序拓展”，是软件文件类型。在Windows中，许多应用程序并不是一个完整的可执行文件，它们被分割成一些相对独立的动态链接库，即DLL文件，放置于系统中。当我们执行某一个程序时，相应的DLL文件就会被调用。一个应用程序可使用多个DLL文件，一个DLL文件也可能被不同的应用程序使用，这样的DLL文件被称为共享DLL文件。

简而言之：
DLL 是一个包含可由多个程序同时使用的代码和数据的库。例如，在 Windows 操作系统中，Comdlg32 DLL 执行与对话框有关的常见函数。因此，每个程序都可以使用该 DLL 中包含的功能来实现“打开”对话框。这有助于促进代码重用和内存的有效使用。

0x02 程序运行时DLL的加载顺序

Windows XP SP2之前
Windows查找DLL的目录以及对应的顺序：

1.进程对应的应用程序所在目录；
2. 当前目录（Current Directory）；
3.系统目录（通过 GetSystemDirectory 获取）；
4.16位系统目录；Windows目录（通过 GetWindowsDirectory 获取）；
5. PATH环境变量中的各个目录；

栗子 ：对于文件系统,如doc文档打开会被应用程序office打开，而office运行的时候会加载系统的一个dll文件，如果我们将用恶意的dll来替换系统的dll文件，就是将DLL和doc文档放在一起，运行的时候就会在当前目录中找到DLL，从而优先系统目录下的DLL而被执行。

在Windows xp sp2之后
Windows查找DLL的目录以及对应的顺序（SafeDllSearchMode 默认会被开启）：

默认注册表为：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager\SafeDllSearchMode，其键值为1

1.进程对应的应用程序所在目录（可理解为程序安装目录比如C:ProgramFilesuTorrent）；
2.系统目录（即%windir%system32）；
3.16位系统目录（即%windir%system）；
4.Windows目录（即%windir%）；
5.当前目录（运行的某个文件所在目录，比如C:DocumentsandSettingsAdministratorDesktoptest）；
6.PATH环境变量中的各个目录；

Windows7以上

系统没有了SafeDllSearchMode 而采用KnownDLLs，那么凡是此项下的DLL文件就会被禁止从EXE自身所在的目录下调用，而只能从系统目录即SYSTEM32目录下调用，其注册表位置：

计算机\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLs

那么最终Windows2003以上以及win7以上操作系统通过“DLL路径搜索目录顺序”和“KnownDLLs注册表项”的机制来确定应用程序所要调用的DLL的路径，之后，应用程序就将DLL载入了自己的内存空间，执行相应的函数功能。

1.进程对应的应用程序所在目录（可理解为程序安装目录比如C:ProgramFilesuTorrent）；
2.系统目录（即%windir%system32）；
3.16位系统目录（即%windir%system）；
4.Windows目录（即%windir%）；
5.当前目录（运行的某个文件所在目录，比如C:DocumentsandSettingsAdministratorDesktoptest）；
6.PATH环境变量中的各个目录；

0x03编写DLL

vs2019-动态链接库项目

每个dl