day2 – def导出，dllmain和dll劫持

最新推荐文章于 2023-11-22 17:49:59 发布

Break-attack

最新推荐文章于 2023-11-22 17:49:59 发布

阅读量149

点赞数

文章标签： python java linux c++ 多线程

本文链接：https://blog.csdn.net/qq_28644765/article/details/119529702

版权

这篇博客深入探讨了DLL（动态链接库）中的.def文件，它是如何定义DLL属性并导出函数的。文章提到了LIBRARY和EXPORTS语句的作用，并举例说明了如何编写.def文件。还讨论了DLL的程序入口点函数DllMain及其参数含义，以及DLL加载和卸载时的回调情况。此外，还提及了DLL劫持的概念。

摘要由CSDN通过智能技术生成

模块定义 (.def) 文件是包含一个或多个描述 DLL 各种属性的 Module 语句的文本文件。如果不使用 __declspec(dllexport) 关键字导出 DLL 的函数，则 DLL 需要 .def 文件。
.def 文件必须至少包含下列模块定义语句：
文件中的第一个语句必须是 LIBRARY 语句。此语句将 .def 文件标识为属于 DLL。LIBRARY 语句的后面是 DLL 的名称。链接器将此名称放到 DLL 的导入库中。
EXPORTS 语句列出名称，可能的话还会列出 DLL 导出函数的序号值。通过在函数名的后面加上 @ 符和一个数字，给函数分配序号值。当指定序号值时，序号值的范围必须是从 1 到 N，其中 N 是 DLL 导出函数的个数。
例如，包含实现二进制搜索树的代码的 DLL 看上去可能像下面这样：

LIBRARY   BTREE
EXPORTS
   Insert   @1
   Delete   @2
   Member   @3
   Min      @4

如果使用 MFC DLL 向导创建 MFC DLL，则向导将为您创建主干 .def 文件并将其自动添加到项目中。添加要导出到此文件的函数名。对于非 MFC DLL，必须亲自创建 .def 文件并将其添加到项目中。
如果导出 C++ 文件中的函数，必须将修饰名放到 .def 文件中，或者通过使用外部“C”定义具有标准 C 链接的导出函数。如果需要将修饰名放到 .def 文件中，则可以通过使用 DUMPBIN 工具或 /MAP 链接器选项来获取修饰名。请注意，编译器产生的修饰名是编译器特定的。如果将 Visual C++ 编译器产生的修饰名放到 .def 文件中，则链接到 DLL 的应用程序必须也是用相同版本的 Visual C++ 生成的，这样调用应用程序中的修饰名才能与 DLL 的 .def 文件中的导出名相匹配。

如果生成扩展 DLL 并使用 .def 文件导出，则将下列代码放在包含导出类的头文件的开头和结尾：

#undef AFX_DATA
#define AFX_DATA AFX_EXT_DATA
// <body of your header file>
#undef AFX_DATA
#define AFX_DATA

这些代码行确保内部使用的 MFC 变量或添加到类的变量是从扩展 DLL 导出(或导入)的。例如，当使用 DECLARE_DYNAMIC 派生类时，该宏扩展以将 CRuntimeClass 成员变量添加到类。省去这四行代码可能会导致不能正确编译或链接 DLL，或在客户端应用程序链接到 DLL 时导致错误。

当生成 DLL 时，链接器使用 .def 文件创建导出 (.exp) 文件和导入库 (.lib) 文件。然后，链接器使用导出文件生成 DLL 文件。隐式链接到 DLL 的可执行文件在生成时链接到导入库。

请注意，MFC 本身使用 .def 文件从 MFCx0.dll 导出函数和类。

DLL程序入口点函数：DllMain，注意：大小写是区别的(仅导出资源的DLL可以没有DllMain函数)。

函数原型:

BOOL APIENTRY DllMain( HMODULE hModule,  
                       DWORD  ul_reason_for_call,  
                       LPVOID lpReserved  
                     )  
{  
    return TRUE;  
}

参数意义:

①hModule参数：指向DLL本身的实例句柄；

②ul_reason_for_call参数：指明了DLL被调用的原因，可以有以下4个取值：

**
\1. DLL_PROCESS_ATTACH：
当DLL被进程 <<第一次>> 调用时，导致DllMain函数被调用，**

同时ul_reason_for_call的值为DLL_PROCESS_ATTACH，

如果同一个进程后来再次调用此DLL时，操作系统只会增加DLL的使用次数，

不会再用DLL_PROCESS_ATTACH调用DLL的DllMain函数。

**
2.DLL_PROCESS_DETACH：
当DLL被从进程的地址空间解除映射时，系统调用了它的DllMain，传递的ul_reason_for_call值是DLL_PROCESS_DETACH。
★如果进程的终结是因为调用了TerminateProcess，系统就不会用DLL_PROCESS_DETACH来调用DLL的DllMain函数。这就意味着DLL在进程结束前没有机会执行任何清理工作。**

**
3.DLL_THREAD_ATTACH：
当进程创建一线程时，系统查看当前映射到进程地址空间中的所有DLL文件映像，**

并用值DLL_THREAD_ATTACH调用DLL的DllMain函数。

新创建的线程负责执行这次的DLL的DllMain函数，

只有当所有的DLL都处理完这一通知后，系统才允许线程开始执行它的线程函数。

**
4.DLL_THREAD_DETACH：
如果线程调用了ExitThread来结束线程(线程函数返回时，系统也会自动调用ExitThread)，**

系统查看当前映射到进程空间中的所有DLL文件映像，

并用DLL_THREAD_DETACH来调用DllMain函数，

通知所有的DLL去执行线程级的清理工作。
★注意：如果线程的结束是因为系统中的一个线程调用了TerminateThread，

系统就不会用值DLL_THREAD_DETACH来调用所有DLL的DllMain函数。

③lpReserved参数：保留，目前没什么意义。

dll劫持

https://www.yuque.com/longaotian-pe2cg/bv9efq/pa7b69

Break-attack

关注

0
点赞
踩
1

收藏

觉得还不错? 一键收藏
0
评论
day2 – def导出，dllmain和dll劫持

模块定义 (.def) 文件是包含一个或多个描述 DLL 各种属性的 Module 语句的文本文件。如果不使用 __declspec(dllexport) 关键字导出 DLL 的函数，则 DLL 需要 .def 文件。.def 文件必须至少包含下列模块定义语句：文件中的第一个语句必须是 LIBRARY 语句。此语句将 .def 文件标识为属于 DLL。LIBRARY 语句的后面是 DLL 的...
复制链接

扫一扫