[Windows编程] 监视DLL装载/卸载

最新推荐文章于 2026-04-11 14:56:24 发布

原创

最新推荐文章于 2026-04-11 14:56:24 发布 · 3.1k 阅读

标签

#dll #windows #编程 #string #struct

#function

收录于

本文介绍如何使用Windows驱动开发库中的LdrRegisterDllNotification函数来监视DLL的装载和卸载事件。示例代码展示了如何在DLL加载或卸载时进行回调，并提供了简单的测试用例来验证其功能。

Windows 驱动开发库里面提供了一个函数 LdrRegisterDllNotification ，可以让你监视进程装载/卸载DLL 的事件。当你想在某个DLL被加载的时候Hook它的函数；或者当你想在某个DLL推出之前做一些保存清理工作；或者当你想阻止某个DLL 被加载（比如外挂） .... 这个机制正可以派上用场。

以下是示例代码，因为有些类型的定义在驱动开发库DDK里面，所以这里我直接从MSDN上（http://msdn.microsoft.com/en-us/library/dd347460(VS.85).aspx）把定义copy 到代码里面。

#include <Ntsecapi.h> // DDK typedef const UNICODE_STRING* PCUNICODE_STRING; typedef struct _LDR_DLL_LOADED_NOTIFICATION_DATA { ULONG Flags; //Reserved. PCUNICODE_STRING FullDllName; //The full path name of the DLL module. PCUNICODE_STRING BaseDllName; //The base file name of the DLL module. PVOID DllBase; //A pointer to the base address for the DLL in memory. ULONG SizeOfImage; //The size