DLL卸载

最新推荐文章于 2025-02-10 14:32:35 发布

Mi1k7ea

最新推荐文章于 2025-02-10 14:32:35 发布

阅读量4.2k

点赞数

分类专栏： Windows 逆向文章标签：逆向工程核心原理

本文链接：https://blog.youkuaiyun.com/SKI_12/article/details/80780830

版权

DLL卸载，又称DLL Ejection，是通过调用FreeLibrary() API实现的。该技术适用于卸载由自身注入的DLL，而非进程直接导入的DLL。文章介绍了如何编写DLL卸载程序EjectDll.exe，通过示例演示了如何卸载注入到notepad.exe的myhack.dll，成功实现了DLL的卸载。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

DLL卸载

DLL卸载（DLL Ejection）是将强制插入进程的DLL弹出的一种技术，原理是驱使目标进程调用FreeLibrary() API，即将FreeLibrary() API的地址传递给CreateRemoteThread()的lpStartAddress参数并把要卸载的DLL的句柄传递给lpParameter参数。

注意：使用FreeLibrary() API实现DLL卸载，仅适用于卸载自己强制注入的DLL文件。PE文件直接导入的DLL文件是无法在进程运行过程中卸载的。

编写DLL卸载程序

下面编写针对之前DLL注入编写的InjectDll.exe和myhack.dll的DLL卸载程序EjectDll.exe程序。当然想卸载指定进程的指定DLL文件时只需修改代码中常量定义部分即可。

//EjectDll.cpp

#include "windows.h"
#include "tchar.h"
#include "tlhelp32.h"

//定义目标进程名和目标DLL文件名常量
#define DEF_PROC_NAME (L"notepad.exe")
#define DEF_DLL_NAME (L"myhack.dll")

//查看设置权限
BOOL SetPrivilege(LPCTSTR lpszPrivilege, BOOL bEnablePrivilege){

	TOKEN_PRIVILEGES tp;
    HANDLE hToken;
    LUID luid;

    //获取进程Token
	if( !OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken) ){
		_tprintf(L"[-]OpenProcessToken error: %u\n&#

最低0.47元/天解锁文章