該系列文章是依據本人平時對動態連結庫的學習，歸納總結，所做的學習筆記。如有錯誤或待改善之處，請留下您寶貴的意見或建議。

先說說DLL劫持的原理吧，以下這段來自百度百科對DLL劫持原理的說明：

由於輸入表中只包含DLL名而沒有它的路徑名，因此載入程式必須在磁碟上搜索DLL檔案。首先會嘗試從當前程式所在的目錄載入DLL，如果沒找到，則在Windows系統目錄中查詢，最後是在環境變數中列出的各個目錄下查詢。利用這個特點，先偽造一個系統同名的DLL，提供同樣的輸出表，每個輸出函式轉向真正的系統DLL。程式呼叫系統DLL時會先呼叫當前目錄下偽造的DLL，完成相關功能後，再跳到系統DLL同名函式裡執行。這個過程用個形象的詞來描述就是系統

利用這種方法取得控制權後，可以對主程式進行補丁。此種方法只對除kernel32.dll、ntdll.dll等核心系統庫以外的DLL有效，如網路應用程式的ws2_32.dll、遊戲程式中的d3d8.dll，還有大部分應用程式都呼叫的lpk.dll、sxs.dll，這些DLL都可被劫持。

偽造的dll製作好後，放到程式當前目錄下，這樣當原程式呼叫原函式時就呼叫了偽造的dll的同名函式，進入劫持DLL的程式碼，處理完畢後，再呼叫原DLL此函式。

這種補丁技術，對加殼保護的軟體很有效，選擇掛接的函式最好是在殼中沒有被呼叫的，當掛接函式被執行時，相關的程式碼已被解壓，可以直接補丁了。在有些情況下，必須用計數器統計掛接的函式的呼叫次數來接近

一些木馬或病毒也會利用DLL劫持技術搞破壞，因此當在應用程式目錄下發現系統一些DLL檔案存在時，如lpk.dll，應引起注意。

下面就通過一個簡單的例子，來實現一下DLL劫持：

1.    生成原始的DLL

建立一個dllTest工程，新增lib.h和lib.cpp檔案：

Lib.h

#ifndef LIB_H
#define LIB_H

extern "C" int __declspec(dllexport)add(int x, int y);
#endif

Lib.cpp

#include "lib.h"

int add(int x, int y){
	return x + y;
}
 

編譯生成dllTest.dll。

2.    編寫應用程式（採用動態載入方式）

新建工程dllcall，新增檔案dllcall.cpp，修改呼叫目錄，生成，測試，ok！

（隱式方式：使用原來的.lib檔案，使用之後的dll）

Dllcall.cpp

// dllCall.cpp : 以顯式方式呼叫DLL
#include <stdio.h>
#include "windows.h"
typedef int ( * lpAddFun)(int,int);
	
int main(int argc, char* argv[])
{
    HINSTANCE hDll;   //DLL控制代碼	
	lpAddFun addFun;  //函式指標
    hDll = LoadLibrary("..\\Release\\dllTest.dll");
	if (hDll != NULL)
	{
		addFun = (lpAddFun)GetProcAddress(hDll,"add");	
		if(addFun!=NULL)
		{
		    int result =  addFun(2,3);    
			printf("%d",result);
		}
		FreeLibrary(hDll);
	}	
	system("pause");
	return 0;
}

3.      使用AheadLib反編譯DLL

使用工具AheadLib.exe，反編譯dllTest.dll，生成dllTest.cpp，新建dll工程，編譯該cpp，生成第二個dllTest.dll。

DllText.cpp

// 標頭檔案
#include <Windows.h>
// 匯出函式
#pragma comment(linker, "/EXPORT:add=_AheadLib_add,@1")
	
// 巨集定義
#define EXTERNC extern "C"
#define NAKED __declspec(naked)
#define EXPORT __declspec(dllexport)
#define ALCPP EXPORT NAKED
#define ALSTD EXTERNC EXPORT NAKED void __stdcall
#define ALCFAST EXTERNC EXPORT NAKED void __fastcall
#define ALCDECL EXTERNC NAKED void __cdecl
// Hook 名稱空間
namespace Hook
{
	HHOOK m_hHook;
	// HOOK 控制代碼
	// HOOK 函式
	LRESULT CALLBACK HookProc(INT iCode, WPARAM wParam, LPARAM lParam)
	{
		if (iCode > 0)
		{
			;
		}

		return CallNextHookEx(m_hHook, iCode, wParam, lParam);
	}
	// Hook
	inline BOOL WINAPI Hook(INT iHookId = WH_CALLWNDPROC)
	{
		m_hHook = SetWindowsHookEx(iHookId, HookProc, NULL, GetCurrentThreadId());
		return (m_hHook != NULL);
	}
	// Unhook
	inline VOID WINAPI Unhook()
	{
		if (m_hHook)
		{
			UnhookWindowsHookEx(m_hHook);
		}
	}
}
// AheadLib 名稱空間
namespace AheadLib
{
	HMODULE m_hModule = NULL;	// 原始模組控制代碼
	DWORD m_dwReturn[1] = {0};	// 原始函式返回地址
	// 載入原始模組
	inline BOOL WINAPI Load()
	{
		TCHAR tzPath[MAX_PATH];
		TCHAR tzTemp[MAX_PATH * 2];

		lstrcpy(tzPath, TEXT("dllTestOrg"));
		
		///這一句是為了證明我的ws2_32.dll能被執行
		MessageBox(NULL, tzPath, TEXT("DLL Path"), MB_ICONSTOP);
		
		m_hModule = LoadLibrary(tzPath);
		if (m_hModule == NULL)
		{
			wsprintf(tzTemp, TEXT("無法載入 %s，程式無法正常執行。"), tzPath);
			MessageBox(NULL, tzTemp, TEXT("AheadLib"), MB_ICONSTOP);
		}

		return (m_hModule != NULL);	
	}	
	// 釋放原始模組
	inline VOID WINAPI Free()
	{
		if (m_hModule)
		{
			FreeLibrary(m_hModule);
		}
	}
	// 獲取原始函式地址
	FARPROC WINAPI GetAddress(PCSTR pszProcName)
	{
		FARPROC fpAddress;
		CHAR szProcName[16];
		TCHAR tzTemp[MAX_PATH];

		if (m_hModule == NULL)
		{
			if (Load() == FALSE)
			{
				ExitProcess(-1);
			}
		}
		fpAddress = GetProcAddress(m_hModule, pszProcName);
		if (fpAddress == NULL)
		{
			if (HIWORD(pszProcName) == 0)
			{
				wsprintf(szProcName, "%d", pszProcName);
				pszProcName = szProcName;
			}

			wsprintf(tzTemp, TEXT("無法找到函式 %hs，程式無法正常執行。"), pszProcName);
			MessageBox(NULL, tzTemp, TEXT("AheadLib"), MB_ICONSTOP);
			ExitProcess(-2);
		}

		return fpAddress;
	}
}
using namespace AheadLib;
// 入口函式
BOOL WINAPI DllMain(HMODULE hModule, DWORD dwReason, PVOID pvReserved)
{
	if (dwReason == DLL_PROCESS_ATTACH)
	{
		DisableThreadLibraryCalls(hModule);

		Hook::Hook();
	}
	else if (dwReason == DLL_PROCESS_DETACH)
	{
		Free();		Hook::Unhook();
	}
	return TRUE;
}
// 匯出函式
ALCDECL AheadLib_add(void)
{
	GetAddress("add");
	__asm JMP EAX;
}

重新使用之前的應用程式測試

將第二個自己生成的dll替代原來的dll，將原來的dll名改成dllTestOrg.dll，放入相應的目錄，測試，OK！

5.    Dll劫持成功

 附件：