开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

在获取DLL_PROCESS_DETACH之前需要一个DLL正在关闭的通知

。DLL_PROCESS_DETACH是Windows操作系统中的一个标识，用于指示一个动态链接库（DLL）即将被卸载。在DLL被卸载之前，通常需要进行一些清理工作或释放资源的操作，以确保程序的正常运行。

为了获取DLL正在关闭的通知，可以使用以下方法之一：

DllMain函数：在DLL中实现一个名为DllMain的函数，并在其中处理DLL_PROCESS_DETACH消息。DllMain函数是DLL的入口点，当DLL被加载或卸载时会被系统调用。在DllMain函数中，可以根据dwReason参数的值来判断DLL的加载或卸载状态，当dwReason等于DLL_PROCESS_DETACH时，表示DLL即将被卸载。
注册回调函数：使用Windows API函数SetDllUnloadCallback来注册一个回调函数，该函数将在DLL被卸载之前被调用。回调函数可以在其中执行必要的清理操作。

在处理DLL正在关闭的通知时，可以执行以下操作：

释放资源：关闭文件句柄、释放内存、关闭数据库连接等，以确保资源的正确释放和避免内存泄漏。
取消注册事件或钩子：如果DLL中注册了事件或钩子，需要在DLL被卸载之前取消注册，以避免无效的事件或钩子调用。
停止线程或进程：如果DLL中创建了线程或进程，需要在DLL被卸载之前停止它们的执行，以避免悬挂线程或进程。
清理临时文件：如果DLL在运行过程中创建了临时文件，需要在DLL被卸载之前删除这些文件，以避免文件积累和占用磁盘空间。

腾讯云相关产品和产品介绍链接地址：

腾讯云函数（云函数）：https://cloud.tencent.com/product/scf 腾讯云数据库（云数据库）：https://cloud.tencent.com/product/cdb 腾讯云对象存储（云存储）：https://cloud.tencent.com/product/cos 腾讯云容器服务（云原生）：https://cloud.tencent.com/product/tke 腾讯云安全组（网络安全）：https://cloud.tencent.com/product/cfw 腾讯云视频处理（音视频）：https://cloud.tencent.com/product/vod 腾讯云物联网平台（物联网）：https://cloud.tencent.com/product/iotexplorer 腾讯云移动开发（移动开发）：https://cloud.tencent.com/product/mad 腾讯云区块链服务（区块链）：https://cloud.tencent.com/product/bcs 腾讯云元宇宙（元宇宙）：https://cloud.tencent.com/product/tc3d

相关搜索:.customize_environment失败，因为之前正在工作的apt-在云外壳中获取更新 Angular:在组件运行之前，需要从服务器获取模块的一些设置。把逻辑放在哪里？作为泛型指针类型传递的SmartPointers在传递给另一个函数之前需要释放吗？在Ansible中执行另一个命令之前，我如何编写一个需要15分钟运行的bash命令？在C#中创建SAPI DLL时，我有一个启动语音的函数，但我需要一个检查状态的函数。我该怎么做？在node.js中，我发出了一个POST请求，在收到来自POST请求的响应之前，函数正在向端点发送空格在SQL Server中获取字符串的最后一个位置之前在typescript中，如何根据之前的布尔参数确定是否需要添加另一个参数？在使用这种多对多关系之前，“<Message:title>”需要有一个字段“id”的值。在使用这种多对多关系之前，“<关联：>”需要有一个字段“关联”的值: django错误

相关搜索:

页面内容是否对你有帮助？

有帮助

没帮助

相关·内容

Windows注入与拦截（1） — DLL注入的基本原理「建议收藏」

从前面的《Windows内存体系》系列文章中我们可以知道，在Windows系统中，每个进程都有自己私有的地址空间。当我们用指针来引用内存的时候，指针的值表示的是进程自己的地址空间的一个虚拟的内存地址。进程不能通过指针来引用其他进程地址空间的内存。因此，如果一个进程有缺陷会导致其引用和覆盖随机地址处的内存，那么这个缺陷的影响就会不会扩散到其他的进程。

02

DllMain中不当操作导致死锁问题的分析--进程对DllMain函数的调用规律的研究和分析

不知道大家是否思考过一个过程：系统试图运行我们写的程序，它是怎么知道程序起始位置的？很多同学想到，我们在编写程序时有个函数，类似Main这样的名字。是的！这就是系统给我们提供的控制程序最开始的地方（注意这儿是提供给我们的，而实际有比这个还要靠前的main）。于是看到DllMain就可以想到它是干嘛的了：Dll的入口点函数。那何时调用这个函数的呢？以及各种调用场景都传给了它什么参数呢？（转载请指明出于breaksoftware的csdn博客）

02

如何解决在DLL的入口函数中创建或结束线程时卡死

通常情况下并不会使用到DLL的MAIN函数，因为delphi的框架已经把Main函数隐藏起来

01

进程注入1：通过LoadLibrary注入DLL

进程注入是将任意代码写入已经运行的进程中并执行，可以用来逃避检测对目标目标进程中的敏感信息进行读/写/执行访问，还可以更改该进程的行为。

03

技术研究-从零开始学习DLL劫持

如果程序需要加载一个相对路径的dll文件，它将从当前目录下尝试查找，如果找不到，则按照如下顺序寻找：

01

C/C++ 远程线程DLL注入

64位进程,就得用64位的EXE来CreateRemoteThread, 另外DLL也应该是64位

02

利用两个dll实现全局钩子

全局消息钩子的钩子函数一定要再dll中，然后启动安装钩子不能在dll中，要是我想在程序开始时安装钩子怎么办。很简单利用两个钩子就行了，只要安装钩子和钩子函数不在同一个dll就行了。

01

DllMain中不当操作导致死锁问题的分析——DllMain中要谨慎写代码（完结篇）

之前几篇文章主要介绍和分析了为什么会在DllMain做出一些不当操作导致死锁的原因。本文将总结以前文章的结论，并介绍些DllMain中还有哪些操作会导致死锁等问题。（转载请指明出于breaksoftware的csdn博客） DllMain的相关特性

02

VS下dll的生成和使用

我在去年其实写过一篇关于dll的博客，但当时只是简单记录了过程，今年在给新员工出dll题目时，发现很多人对dll不太熟悉，所以想再写一篇博客，详细讲讲。

01

C/C++ MinHook 库的使用技巧

在上面的各种Hook挂钩方式中,我们都是在手写封装代码,但这样的方式并不高效,真正的生产环境中我们必须使用现成的Hook库,常用的Hook库有免费开源的MinHook和商业的Detours Hook,这里我们就选择介绍MinHook这个迷你函数库,该Hook库是完全开源免费的,使用起来也非常的简单.

01

干货 | DLL劫持

DLL（Dynamic Link Library），全称动态链接库，是Windows系统上程序正常运⾏必不可少的功能模块，是实现代码重⽤的具体形式。简单的说，可以把DLL理解成帮助程序完成各种功能的组件。DLL劫持漏洞（DLL Hijacking Exploit），严格点说，它是通过⼀些⼿段来劫持或者替换正常的DLL，欺骗正常程序加载预先准备好的恶意DLL的⼀类漏洞的统称。利⽤DLL劫持漏洞，病毒⽊⻢可以随着⽂档的打开（或者其他⼀些程序正常⾏为）⽽激活⾃身，进⽽获得系统的控制权。

02

DelphiHookApi(经典)

论坛里有关于HOOK API的贴子，但其实现在方式显示得麻烦，其实现在拦截API一般不用那种方式，大都采用inline Hook API方式。其实也就是直接修改了要拦截的API源码的头部，让它无条件跳转到我们自己的处理过程。

05

DllMain中不当操作导致死锁问题的分析--线程退出时产生了死锁

我们回顾下之前举得例子（转载请指明出于breaksoftware的csdn博客）

03

白加黑免杀制作（详细）

最近被微步的一篇文章吸引了，里面讲到银狐通过自解压白 exe + 黑 dll 执行截取主线程添加自启动，发现 dll 与普通的免杀有很大的不同，决定自己尝试一下，虽然我之前没有做过白加黑免杀，感觉应该不会太难，但是当我真正尝试的时候才发现很多问题，如：

07

实战 | DLL劫持思路和研究

DLL(Dynamic Link Library)文件为动态链接库文件，又称“应用程序拓展”，是软件文件类型。在Windows中，许多应用程序并不是一个完整的可执行文件，它们被分割成一些相对独立的动态链接库，即DLL文件。

02

白加黑保姆教程通杀主流杀软

简单来说就是通过白名单的exe运行来去加载恶意的dll达到shellcode加载的目的，那么就需要对exe加载的dll进行了解。

01

8.10 TLS线程局部存储反调试

TLS（Thread Local Storage）用来在进程内部每个线程中存储私有的数据。每个线程都会拥有独立的TLS存储空间，可以在TLS存储空间中保存线程的上下文信息、变量、函数指针等。TLS其目的是为了解决多线程变量同步问题，声明为TLS变量后，当线程去访问全局变量时，会将这个变量拷贝到自己线程中的TLS空间中，以防止同一时刻内多次修改全局变量导致变量不稳定的情况，先来看一段简单的案例:

03

InlineHook实践

InlineHook是一种指令级的函数hook方式，通过直接修改运行时内存的方式替换指令，完全手工的完成hook及跳回操作，理论上可以实现任意位置的hook。平时使用Frida进行Native hook实际上也是用的InlineHook的原理。

03

Delphi中DLL初始化和退出处理DLL_Process_Attach

<1>利用Unit的 Initalization与Finalization这两个小节　　可以在Unit的这两个小节中安排Unit的进入和退出，但是 Program 与 Library并没有这两个部分，所以只能写在Unit中。

04

DLL劫持原理学习

DLL(Dynamic Link Library)文件为动态链接库文件，又称“应用程序拓展”，是软件文件类型。在Windows中，许多应用程序并不是一个完整的可执行文件，它们被分割成一些相对独立的动态链接库，即DLL文件，放置于系统中。当我们执行某一个程序时，相应的DLL文件就会被调用。一个应用程序可使用多个DLL文件，一个DLL文件也可能被不同的应用程序使用，这样的DLL文件被称为共享DLL文件。

04

8.10 TLS线程局部存储反调试

TLS（Thread Local Storage）用来在进程内部每个线程中存储私有的数据。每个线程都会拥有独立的TLS存储空间，可以在TLS存储空间中保存线程的上下文信息、变量、函数指针等。TLS其目的是为了解决多线程变量同步问题，声明为TLS变量后，当线程去访问全局变量时，会将这个变量拷贝到自己线程中的TLS空间中，以防止同一时刻内多次修改全局变量导致变量不稳定的情况，先来看一段简单的案例:

01

干货 | 巧用cpl文件维持权限和免杀

最近无意间发现了cpl文件,之前对该类型的文件了解几乎为零,由于触及到我的知识盲区,于是决定探究。

03

最新dll劫持详解

DLL(Dynamic Link Library)文件为动态链接库文件，又称“应用程序拓展”，是软件文件类型。在Windows中，许多应用程序并不是一个完整的可执行文件，它们被分割成一些相对独立的动态链接库，即DLL文件。

03

C/C++ IAT HOOK MessageBoxW

最近在研究各种姿势的 HOOK，虽然 HOOK 这个东西已经是很久之前就有的技术了，但好在目前应用仍然很广泛，所以老老实实肯大佬们 10 年前啃过的骨头，下面是庄重的代码献祭时刻。

02

Delphi中利用SEH屏蔽退出时的Runtime Error

Delphi写的程序，如果在单元的finalization里出现了一些异常操作会导致退出时抛出Runtime Error ，规范的处理办法当然是解决这些异常，但是有些特殊的情况下，比如用了很多的第三方控件，实在没办法解决问题时，只有把他屏蔽掉，这样给客户的时候就不至于看到满天的Runtime Error 了。做法其实很简单，就是在 END.之前手工调用Halt释放，并且将Halt抛出的错误屏蔽掉，这样做和正常的DELPHI释放过程没有任何区别，因为End.编译后其实就是一句话 Call Halt0，只是VCL自己没有屏蔽Halt0里抛出的错误，而是跳出个Runtime Error 来; 　　首先就是位置的问题，如果是EXE的话，直接在END.之前就行了，如果是Dll的话就麻烦点，需要挂上DllProc，当wReason = DLL_PROCESS_DETACH时处理。然后就是如何屏蔽错误的问题了，第一个最容易想到的做法就是直接 Try 　halt except end; 　　但是这样是不行的，因为try…except end捕获的错误都会放到System单元的_HandleOnException中处理，函数检查错误类型是否是DelphiException，如果不是就不处理，这个时候就会被DELPHI的顶层异常机制捕获，并抛出Runtime error，halt里抛出来的错误恰恰就是非DelphiException，代码如下：　procedure _HandleOnException; … 　　CMP [EAX].TExceptionRecord.ExceptionCode,cDelphiException 　　JE @@DelphiException 　　CLD 　　CALL _FpuInit 　　MOV EDX,ExceptClsProc 　　TEST EDX,EDX 　　JE @@exit 　　 CALL EDX 　　TEST EAX,EAX 　　JNE @@common 　　JMP @@exit … End; 所以，需要借助SHE机制来处理这个问题，代码如下：　　asm 　　 //挂上SEH xor edx, edx 　　 push ebp 　　push OFFSET @@safecode 　　push dword ptr fs:[edx] 　　mov fs:[edx],esp 　　//调用Halt0 　　call Halt0 　　jmp @@exit; 　　@@safecode: 　　 //如果出现异常继续调用Halt0退出 call Halt0; 　　@@exit: 　end; 这个做法的好处就是，不会对DELPHI正常释放过程产生影响，所有的释放操作都是和VCL一致的，只是不会把错误显示出来。以下是完整代码：一、EXE的情况，把代码放在工程文件 procedure Halt0; begin Halt; end; begin Application.Initialize; Application.CreateForm(TForm1, Form1); Application.Run; asm 　xor edx, edx 　push ebp 　push OFFSET @@safecode 　 push dword ptr fs:[edx] 　mov fs:[edx],esp 　 call Halt0 　jmp @@exit; 　@@safecode: 　　call Halt0; 　 @@exit: end; end.

04

DLL注入explorer.exe进程[通俗易懂]

最近一直在学习dll注入远程进程的相关知识，于是有了这篇文章。通过注入的方式会运行程序，在资源管理器中是看不到，相关的进程的，这为程序的隐藏提供了极大的便利。

00

DLL劫持详解

DLL(Dynamic Link Library)文件为动态链接库文件，又称“应用程序拓展”，是软件文件类型。在Windows中，许多应用程序并不是一个完整的可执行文件，它们被分割成一些相对独立的动态链接库，即DLL文件。

02

干货 | 巧用cpl文件维持权限和免杀

最近无意间发现了cpl文件,之前对该类型的文件了解几乎为零,由于触及到我的知识盲区,于是决定探究。

04

巧用cpl文件维权和免杀

最近无意间发现了cpl文件,之前对该类型的文件了解几乎为零,由于触及到我的知识盲区,于是决定探究。

04

巧用cpl文件维权和免杀

最近无意间发现了cpl文件,之前对该类型的文件了解几乎为零,由于触及到我的知识盲区,于是决定探究。

04

4.5 MinHook 挂钩技术

MinHook是一个轻量级的Hooking库，可以在运行时劫持函数调用。它支持钩子API函数和普通函数，并且可以运行在32位和64位Windows操作系统上。其特点包括易于使用、高性能和低内存占用。MinHook使用纯汇编语言实现，在安装和卸载钩子时只需要短暂地锁定目标线程，因此对目标线程的影响非常小。

02

4.5 MinHook 挂钩技术

MinHook是一个轻量级的Hooking库，可以在运行时劫持函数调用。它支持钩子API函数和普通函数，并且可以运行在32位和64位Windows操作系统上。其特点包括易于使用、高性能和低内存占用。MinHook使用纯汇编语言实现，在安装和卸载钩子时只需要短暂地锁定目标线程，因此对目标线程的影响非常小。

04

VC++DLL动态链接库程序

最近查找了一下VC++中关于编写DLL动态库的资料，主要是导出函数和导出类的编写。因为在实际项目开发中有时需要使用C++编写好DLL接口，控制设备，提供给其他语言如Nodejs、C#等使用。

02

DLL劫持技术权限提升及防范

DLL(Dynamic Link Library)文件为动态链接库文件，又称“应用程序拓展”，是一种文件类型。在程序运行中，可能会需要一些相对独立的动态链接库，而这些预先放置在系统中的动态链接库文件。当我们执行某一个程序时，相应的DLL文件就会被调用。DLL 是一个包含可由多个程序同时使用的代码和数据的库，一个应用程序可使用多个DLL文件，一个DLL文件也可能被不同的应用程序使用，这样的DLL文件被称为共享DLL文件。

01

滥用具备RWX-S权限且有签名的dll进行无感知的shellcode注入

常规的shellcode注入一般是通过VirtualAllocEx,WriteProcessMemory 和 CreateRemoteThread 来实现的，但是这种方式是被安全软件重点监控的，同时微软提供的ETW接口也是可以轻易检测出上述方式进行代码注入的痕迹。本文的核心是讲解怎么利用具备 RWX-S 权限且自身有签名的白DLL进行一种比较隐蔽的shellcode注入，并讲解具体的代码实现以及在写代码实现的过程中遇到的坑。本方法是由文章提出的：https://billdemirkapi.me/sharing-is-caring-abusing-shared-sections-for-code-injection/ ，详情可以参考此文章。

02

Kaspersky AVP.exe DLL 劫持

Kaspersky AVP.exe 中的 DLL 注入允许本地管理员在不知道 Kaspersky 密码的情况下杀死或篡改防病毒软件和在高权限中执行命令。

02

T1218.002 Control Panel滥用

CPL文件，是Windows控制面板扩展项，CPL全拼为Control Panel Item在system32目录下有一系列的cpl文件,分别对应着各种控制面板的子选项

02

C/C++ Inline Hook 钩子编写技巧

Hook 技术通常被称为钩子技术，Hook技术是Windows系统用于替代中断机制的具体实现，钩子的含义就是在程序还没有调用系统函数之前，钩子捕获调用消息并获得控制权，在执行系统调用之前执行自身程序，简单来说就是函数劫持，本笔记将具体介绍应用层Hook的实现机制。

01

绕过360实现lsass转储

AvDump.exe是Avast杀毒软件中自带的一个程序，可用于转储指定进程（lsass.exe）内存数据，它带有Avast杀软数字签名。

01

默认的 DLL 搜索路径优先级

如果调用 LoadLibrary 时传入的是绝对路径，那么加载程序将只尝试从该绝对路径搜索 DLL。

02

干货 | 如何快速完成DLL劫持，实现权限维持，重启上线

双击运行AheadLib.exe，如果选择了dll，但是AheadLib.exe报错就需要运行AheadLib_x64.exe来生成，最后生成修改后的dll也需要生成x64位的

03

默认的 DLL 搜索路径优先级

如果调用 LoadLibrary 时传入的是绝对路径，那么加载程序将只尝试从该绝对路径搜索 DLL。

01

CLion编写我的世界基岩版插件(LiteLoaderBDS)-1

下载后直接把headers和lib文件夹解压至项目文件夹内，它在本教程中不会用到，但是在使用LiteLoader的内置事件时有用

02

绕过360实现lsass转储

AvDump.exe是Avast杀毒软件中自带的一个程序，可用于转储指定进程（lsass.exe）内存数据，它带有Avast杀软数字签名。

03

无密码登录他人QQ空间可查看加密相册

本文主要讲解如何窃取已登录QQ或TIM用户的ClientKey（前提是当前电脑的QQ或TIM是登录状态），并悄无声息的获取其QQ或TIM的空间登录权限的链接，然后可以在任意一台电脑上都可以无密码登录其QQ空间，也可以查看其加密相册等。具体的实现流程后期可以优化的更完美，因为时间原因只测试了基本功能的实现。只是提供一种思路，大家可以发散思维，把流程更加简化或自动化。

01

无处不在的dll劫持

•环境变量PATH中所有目录。需要注意的是，这里不包括App Paths注册表项指定的应用程序路径。

03

CLion编写我的世界基岩版插件(LiteLoaderBDS)-2

如果你是在自己的电脑上运行客户端，可能会受到UWP的回路限制，无法连接上自己的服务器，此时需要管理员身份运行cmd，并执行以下指令

01

c++DLL编程详解

DLL(Dynamic Link Library)的概念，你可以简单的把DLL看成一种仓库，它提供给你一些可以直接拿来用的变量、函数或类。在仓库的发展史上经历了“无库－静态链接库－动态链接库”的时代。静态链接库与动态链接库都是共享代码的方式，如果采用静态链接库，则无论你愿不愿意，lib中的指令都被直接包含在最终生成的EXE文件中了。但是若使用DLL，该DLL不必被包含在最终EXE文件中，EXE文件执行时可以“动态”地引用和卸载这个与EXE独立的DLL文件。静态链接库和动态链接库的另外一个区别在于静态链接库

06

无处不在的dll劫持

所以如果一个dll不在应用程序所在目录，那么我们可以在应用程序所在目录放一个我们自己的dll，名称改为要加载dll的名称，这样当程序启动时，程序会加载我们自己的dll。当然这里只是简单的说了一种情况，某些情况下，即便正常dll存在，我们也可以通过dll劫持转发的方式劫持，目前不少厂商已经通过hash，MD5校验或数字签名验证等方式确保加载的dll为自己的dll，这会是即便你找到了相关可利用的dll劫持但还是失败的原因之一。

02

3.4 DLL注入：全局消息钩子注入

SetWindowHookEx 是Windows系统的一个函数，可用于让一个应用程序安装全局钩子，但读者需要格外注意该方法安装的钩子会由操作系统注入到所有可执行进程内，虽然该注入方式可以用于绕过游戏保护实现注入，但由于其属于全局注入所以所有的进程都会受到影响，而如果想要解决这个问题，则需要在DllMain()也就是动态链接库开头位置进行判断，如果是我们所需操作的进程则执行该DLL模块内的功能，如果不是则自动跳过不执行任何操作即可实现指定进程的注入方式。

03

扫码

添加站长进交流群

领取专属 10元无门槛券

手把手带您无忧上云

扫码加入开发者社群

相关资讯

热门标签

活动推荐

运营活动

活动名称

广告关闭