[Windows编程] 监视DLL装载/卸载

最新推荐文章于 2024-01-24 16:10:00 发布
最新推荐文章于 2024-01-24 16:10:00 发布
阅读量4.9k 收藏 11
点赞数
文章标签： dll windows 编程 string struct function
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/WinGeek/article/details/4042449
版权
本文介绍了如何使用Windows驱动开发库中的LdrRegisterDllNotification和LdrUnregisterDllNotification函数来监视进程中的DLL装载和卸载事件。通过示例代码展示了如何监听并打印DLL的装载和卸载信息，包括mshtml.dll等。
摘要由CSDN通过智能技术生成

Windows 驱动开发库里面提供了函数 LdrRegisterDllNotification , LdrUnregisterDllNotification ， 可以让你监视进程装载/卸载DLL 的事件。 当你想在某个DLL被加载的时候Hook它的函数； 或者当你想在某个DLL推出之前做一些保存清理工作； 或者当你想阻止某个DLL 被加载（比如外挂） .... 这个机制正可以派上用场 。

 

 

以下是代码示例如何使用 LdrRegisterDllNotification , LdrUnregisterDllNotification 监听DLL装载/卸载。

 

 

最低0.47元/天 解锁文章
西塞安全
关注
  • 0
    点赞
  • 踩
  • 11
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
[网络安全自学篇] 八十五.《Windows黑客编程技术详解》之注入技术详解（全局钩子、远线程钩子、突破Session 0注入、APC注入）
杨秀璋的专栏
06-25 1万+
从这篇文章开始，作者将带着大家来学习《Windows黑客编程技术详解》，其作者是甘迪文老师，推荐大家购买来学习。作者将采用实际编程和图文结合的方式进行分享，并且会进一步补充知识点，希望对您有所帮助。第二篇文章主要介绍4种常见的注入技术，包括全局钩子、远线程钩子、突破SESSION 0隔离的远线程注入、APC注入，案例包括键盘钩子、计算器远线程注入实现、APC注入等，希望对您有所帮助。
Windows Shell 编程学习总结
bcbobo21cn的专栏
03-19 8707
Windows Shell 编程 http://blog.csdn.net/chchzh/article/details/2210729 序言：        看过一些对windows 外壳的扩展程序，在使用上一般都是直接利用windows的外壳API做一些工作 ，因为外壳操作需要一些比较专业的知识，因此，大部分编程人员特别是使用集成编程环境的程序人员 对wind
API监听Dll的加载/卸载消息
06-06
本程序调用LdrRegisterDllNotification实现，详见MSDN：LdrUnregisterDllNotification 函数。本程序可以监控Dll的加载/卸载事件。例如本程序可以利用本程序实现反Dll注入。其他功能可自行拓展。
Windows系统丢失mshtml.dll文件导致程序无法启动问题
amio555的专栏
05-29 705
其实很多用户玩单机游戏或者安装软件的时候就出现过这种问题，如果是新手第一时间会认为是软件或游戏出错了，其实并不是这样，其主要原因就是你电脑系统的该dll文件丢失了或没有安装一些系统软件平台所需要的动态链接库，这时你可以下载这个mshtml.dll文件(挑选合适的版本文件)把它放入到程序或系统目录中，当我们执行某一个.exe程序时，相应的DLL文件就会被调用，因此将缺失的文件放回到原目录之后就能打开你的软件或游戏了.那么出现mshtml.dll丢失要怎么解决？
LDR断链 隐藏DLL
IT男也疯狂
09-14 6760
typedef struct _LSA_UNICODE_STRING { USHORT Length; USHORT MaximumLength; PWSTR Buffer;} UNICODE_STRING, *PUNICODE_STRING; typedef struct _PEB_LDR_DATA { DWORD Length; // +0x00 bool Initialize
模块隐藏（LDR_MODULE链 与 PE特征）
零点起步
04-14 7644
比较常见的模块隐藏方法有抹去模块的PE头，断开进程的LDR_MODULE链，Hook模块枚举函数等。后面备注VAD隐藏。 //测试EXE，加载WaiGua.dll，再隐藏。 #include #include #include typedef struct _LSA_UNICODE_STRING { USHORT Length; USHORT MaximumLength; PW
Windows操作监视程序-SHChangeNotification
02-03
利用Windows的未公开函数SHChangeNotifyRegister实现文件目录操作即时监视程序可以监视在Explore中的重命名、新建、删除文件或目录；改变文件关联；插入、取出CD和添加删除网络共享都可以被该程序记录下来。
Windows 8的用户模式Shim Engine小探及利用
dengliang7440的博客
03-29 877
转载：https://bbs.pediy.com/thread-175483.htmWindows Shim Engine，即Windows 兼容性模式实现引擎，在exe文件的属性对话框中有一个兼容性选项卡，用户可设置此exe程序完美工作的系统版本，Windows会尝试模拟老的系统环境运行此程序。那Windows是如何模拟的呢？Windows认为老程序出问题的原因在于它们调用的API上，...
Windows监听程序访问了哪些资源
youyudexiaowangzi的专栏
12-21 3038
Winternals公司的SysInternals提供了很多方便工具，后来被微软收购，微软提供了该系列的工具 https://docs.microsoft.com/en-us/sysinternals/ 监听进程访问的资源用ProcessMonitor就可以了，但是数据太多了，后来发现ProcessExplorer用起来更方便 勾选Show Low Pane，就会在底部显示一个进程信息的窗格，里面默认是按type排序的，type里面有section、file、reg、event等信息，这里以fil
通过监测DLL调用探测Mimikatz
weixin_30894583的博客
03-14 223
通过Sysmon的-l参数可以探测到DLL加载（ImageLoaded）： REF: https://securityriskadvisors.com/blog/post/detecting-in-memory-mimikatz/ 转载于:https://www.cnblogs.com/xiaoxiaoleo/p/6385861.html...
TLS 回调中挂钩 LdrLoadDll 实现监视模块加载过程
最新发布
溡漪幽博客
01-24 1214
通过 TLS 回调机制可以实现很多功能，本文简单地从挂钩 LdrLoadDll 函数说起，通过利用 TLS 回调比程序入口代码执行更早的特性，实现监视程序执行期间所有模块加载过程。TLS 全称为 Thread Local Storage，是 Windows 为解决一个进程中多个线程同时访问全局变量而提供的机制。TLS 可以简单地由操作系统代为完成整个互斥过程，也可以由用户自己编写控制信号量的函数。
C# 动态加载dll事件处理
michaelafeng的博客
02-13 564
dll动态加载处理委托事件
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值