易语言-DLL劫持在易语言中的应用

简介：
本文章深入探讨了DLL劫持技术及其在易语言编程环境下的实现方法与应用场景，旨在帮助开发者解决程序依赖问题和优化软件部署。 以D3D9为例展示DLL劫持：由于导入表只包含DLL名称而不包括路径名，加载程序必须在磁盘上搜索对应的DLL文件。首先会尝试从当前执行目录中查找该DLL，如果未找到，则会在Windows系统目录中进行查找；最后是在环境变量列出的各个目录下继续寻找。 利用这一特性，可以先创建一个与目标系统相同名称但经过修改版本的DLL（例如伪造版D3D9.dll），提供同样的导出函数列表，并且每个输出函数都转向真正的系统DLL。当程序调用某个特定功能时，会首先加载当前执行目录下的这个伪造版本，完成相应操作后，再跳转到真实系统文件中的对应实现进行执行。 这种技术被称为“劫持”（hijack），它使得攻击者能够对主程序实施补丁或注入恶意代码。不过需要注意的是，并非所有DLL都适用于这种方法：例如kernel32.dll、ntdll.dll等核心库就不在此列，而像网络应用中的ws2_32.dll或者游戏使用的d3d8.dll这类则可以被劫持。 一旦伪造的DLL制作完成并放置在程序启动目录下，每当原程序尝试调用其导出函数时就会先访问到这个假版本。通过这种方式，在执行完必要的处理后还可以继续调用真实库中的对应功能。这种技术对于解壳软件特别有用——选择未被外壳直接引用的功能作为挂接点，并在其首次运行时完成补丁工作。 值得注意的是，一些恶意软件也可能利用类似的机制进行破坏活动：比如在合法应用的启动目录中放置伪造系统DLL文件（如lpk.dll）。因此，在发现应用程序所在路径下存在不寻常版本的这些关键库时应提高警惕。 以一个VC编写的D3D9绘图程序为例，其默认情况下会调用系统的d3d9.dll。然而如果我们在当前执行目录中放置了伪造版的“d3d9_Ex.dll”（实际上就是重命名后的原始DLL），当程序运行并尝试加载该依赖项时就会优先使用这个新文件。 为了实现劫持效果，需要先获取D3D9.DLL的所有导出函数信息，并在易语言环境中创建一个空壳版本的同名DLL放置于目标目录内。接下来，在我们的伪造库中添加必要的代码以调用原始d3d9.dll中的相应功能（通过汇编指令实现），这样就可以插入自定义逻辑而不会破坏原有程序的功能。 例如，当源码中存在将函数传递到原版D3D9的类似操作时，可以通过这种方式让其先经过我们控制下的版本再转交给真正的库处理。这样一来，在这两个调用之间即可添加所需的任何额外代码了。