Hooking windows fonctions API pour intercepter le chargement dll (Windows uniquement)

Question

Je veux intercepter le chargement de dll afin que je puisse les utiliser. Ma première idée était d'accrocher GetProcAddress. Étonnamment, en l'accrochant, je peux seulement intercepter des appels faits dans le processus qui possède ma bibliothèque. (J'ai ouvert un autre executables qui font appel GetProcAddress et ces appels ne sont pas interceptai) (je suppose parce qu'il est compilé dynamiquement contre ma lib)

Exemple de sortie:

C: \ Windows \ SysWOW64 \ kernel32.dll Module32NextW

C: \ Windows \ SysWOW64 \ kernel32.dll CreateToolhelp32Snapshot

C: \ Windows \ system32 \ dinput.dll DirectInputCreateW

C: \ Windows \ SysWOW64 \ ntdll.dll DirectDrawCreate

Quoi qu'il en soit, ce que je veux savoir est où je commence à être en mesure d'intercepter le chargement dll donc je peux alors utiliser leurs fonctions.

Fondamentalement, je veux pouvoir appeler GetModuleInformation pour n'importe quelle DLL chargée.

Answer 1

D'abord, que faites-vous qui nécessite un crochet global?

Si vous souhaitez être notifié qu'un DLL a chargé dans un processus, vous pouvez rechercher dans PsSetImageLoadNotifyRoutine, qui est une routine en mode noyau. Bien qu'il soit en mode noyau, il n'est pas très difficile à utiliser et écrire un pilote de base est plutôt amusant. Une autre solution consiste à forcer un chargement de votre bibliothèque dans chaque processus. Il existe une variété de méthodes, l'une des plus légitimes serait Windows Message hooks.

Answer 2

Installez un crochet à l'échelle du système sur la fonction LoadLibrary. (Je n'ai aucune idée de comment utiliser cette petite chose commentaire sous la question donc)