为什么易语言写的dll不能远线程卸载，听我和你说

同学麻烦让让 · 发表于 2022-9-5 20:05:15

不知道大家发现没有，易语言写的dll如果通过远线程注入到其他程序，然后再想通过远线程卸载的话，程序必崩。其实这个很多年前我就逆向过了，也知道了原因和对应的解决方法，今天下午有人问我这方面的问题，我想想估计还是有很多易友不知道，就发论坛上来吧
首先我们用易语言随便写个空的dll然后用createremotethread注入到某个程序里去，并且记下这个远线程的ID，然后用OD看这个程序的模块可以看到已经有这个模块ss.dll了

可以看出创建的远线程的ID是6584

OD里跳转到ss.dll的入口点，下个断点，然后再通过createremotethread调用freelibrary卸载这个dll，此时OD里会断在刚才下断点的地方，看堆栈，在我标的那里的数值是2，不用管直接F9运行

可能会在断点处断好几次（dllmain在4种情况下都会被调用），直到堆栈我画出来的那里的值变为0，也就是下图这样

然后单步运行到下面我标的那个CALL那里

跟进去，然后继续单步，直到下面图的那个CALL那里

继续跟进上面的那个CALL里面去看看

继续跟进这个CALL里

看见02FFE48B这行代码和上面的那行代码了吗，上面用getcurrentthreadid取本线程的ID为0xCFC，然后和dword ptr[esi+0x228]里的值进行对比，dword ptr[esi+0x228]里的值是多少呢，看下面的提示，它的值是0x19B8也就是10进制的6584，还记得前面我说的那个远线程的ID是多少吗，不记得往前翻翻，就是6584，也就是说卸载dll的时候会把当前线程ID和之前注入dll的线程ID进行对比，这里当然是不一样了，此时的线程ID是0xCFC，而之前注入dll的线程ID是0x19B8，所以JE跳转不成立，直接往下走，直到下面这句

看见没，发现当前线程ID和注入dll的线程ID不一样就调用exitprocess直接结束进程了。

知道了远线程注入dll后再用远线程卸载为什么必崩的原理了吧，你不可能两次创建的线程ID都是一样啊，而且就算两次创建的线程ID刚好都是一样的，也会崩，哈哈，因为两次线程的资源不一样，卸载时除了对比线程ID外还会对比其他方面，即使JE跳转成立跳到下面进行第二轮对比还是会失败，程序退出。因此如果你打算强行把JE改为JNE，还是会崩的哈。

那有什么办法正常注入易语言写的dll然后又能正常卸载吗，当然是注入和卸载的是同一个线程就可以了啊，如果程序是自己写的，没什么说的肯定能控制同一个线程注入和卸载，如果是注入dll到外部其他进程呢，想办法让外部进程的主线程调用loadlibrary注入这个dll不就行了吗，主线程在程序结束前总不会结束吧，卸载的时候再让主线程调用freelibrary卸载这个dll就行了，这样就是注入和卸载都是外部进程的主线程进行的，就能正常卸载。

怎么控制外部进程的主线程？方法多了去了，最简单的用getthreadcontext和setthreadcontext吧，其他的方法就自己再琢磨琢磨吧，我一般常用的有3种方法控制外部进程的主线程

liaoxiaohu · 发表于 2022-9-11 09:42:52

66666666666666666666

o风雨o · 发表于 2022-9-5 22:29:44

中秋快乐啊

1185384801 · 发表于 2022-9-5 21:56:09

用黑月，问题解决

易夫 · 发表于 2022-9-5 21:44:03

6666666666666666666666666

Aag666 · 发表于 2022-9-5 20:31:54

		自动登录	找回密码
密码			注册

[技术专题] 为什么易语言写的dll不能远线程卸载，听我和你说

评分