当前位置：首页 > news >正文

Windows程序启动前就动手：用TLS回调在main函数之前挂钩LdrLoadDll（附完整C++代码）

news 2026/6/3 14:24:01

Windows程序启动前就动手：用TLS回调在main函数之前挂钩LdrLoadDll（附完整C++代码）

在Windows系统底层开发中，有一种鲜为人知但极其强大的技术——TLS回调。这种技术允许开发者在程序入口点（main或DllMain）之前就执行自定义代码，为安全监控、反调试和模块拦截等高级应用提供了前所未有的先发制人优势。

1. TLS回调机制深度解析

TLS（Thread Local Storage）回调是Windows PE文件格式中一个鲜为人知但极其强大的特性。它最初设计用于线程局部存储的初始化，但其执行时机使其成为系统级开发的利器。

1.1 TLS回调的执行时机

TLS回调的执行发生在程序生命周期的三个关键阶段：

进程启动时：在所有全局/静态对象构造之前
线程创建时：在新线程开始执行用户代码之前
进程/线程终止时：在资源释放之后

这种执行顺序意味着TLS回调可以：

监控所有模块加载行为
拦截系统API调用
实施安全策略检查
初始化关键数据结构

1.2 PE文件中的TLS结构

在PE文件格式中，TLS相关信息存储在特定的数据目录中：

typedef struct _IMAGE_TLS_DIRECTORY64 { ULONGLONG StartAddressOfRawData; ULONGLONG EndAddressOfRawData; ULONGLONG AddressOfIndex; ULONGLONG AddressOfCallBacks; DWORD SizeOfZeroFill; DWORD Characteristics; } IMAGE_TLS_DIRECTORY64;

关键字段说明：

字段	描述
AddressOfCallBacks	指向TLS回调函数数组的指针
StartAddressOfRawData	TLS初始化数据的起始VA
EndAddressOfRawData	TLS初始化数据的结束VA

2. 实战：配置TLS回调

2.1 MSVC中的TLS配置

在Visual Studio中配置TLS回调需要特殊的链接器指令：

// 告知链接器使用TLS #ifdef _WIN64 #pragma comment(linker, "/INCLUDE:_tls_used") #pragma comment(linker, "/INCLUDE:tls_callback_func") #else #pragma comment(linker, "/INCLUDE:__tls_used") #pragma comment(linker, "/INCLUDE:_tls_callback_func") #endif

2.2 定义TLS回调数组

TLS回调函数需要放置在特定的PE节中：

#ifdef _WIN64 #pragma const_seg(".CRT$XLF") EXTERN_C const #else #pragma data_seg(".CRT$XLF") EXTERN_C #endif PIMAGE_TLS_CALLBACK tls_callback_func[] = { TLS_CALLBACK1, // 第一个回调函数 TLS_CALLBACK2, // 第二个回调函数 0 // 数组终止符 }; #ifdef _WIN64 #pragma const_seg() #else #pragma data_seg() #endif

2.3 编写TLS回调函数

TLS回调函数的原型如下：

void NTAPI TLS_CALLBACK( PVOID DllHandle, DWORD Reason, PVOID Reserved ) { switch (Reason) { case DLL_PROCESS_ATTACH: // 进程初始化时执行 break; case DLL_THREAD_ATTACH: // 线程创建时执行 break; case DLL_THREAD_DETACH: // 线程终止时执行 break; case DLL_PROCESS_DETACH: // 进程终止时执行 break; } }

3. 挂钩LdrLoadDll实现模块监控

3.1 为什么选择LdrLoadDll

Windows模块加载的调用链：

LoadLibrary → LoadLibraryEx → LdrLoadDll

直接挂钩LdrLoadDll可以：

捕获所有模块加载请求
实现细粒度的控制
避免被上层API钩子绕过

3.2 64位系统下的Hook技术

现代64位系统对代码段有严格的保护机制，我们需要特殊的技术来实现Hook：

unsigned char trampoline[] = { 0x49, 0xBB, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, // mov r11, address 0x41, 0xFF, 0xE3 // jmp r11 };

Hook实现步骤：

备份原始函数头
修改内存保护属性
写入跳转指令
恢复内存保护

VOID HookLoadDll(LPVOID lpAddr) { DWORD oldProtect; unsigned char boing[] = { 0x49, 0xBB, 0xDE, 0xAD, 0xC0, 0xDE, 0xDE, 0xAD, 0xC0, 0xDE, 0x41, 0xFF, 0xE3 }; *(void**)(boing + 2) = &_LdrLoadDll; // 设置跳转地址 VirtualProtect(lpAddr, sizeof(boing), PAGE_EXECUTE_READWRITE, &oldProtect); memcpy(lpAddr, boing, sizeof(boing)); VirtualProtect(lpAddr, sizeof(boing), oldProtect, &oldProtect); }

4. 完整实现：DLL加载监控系统

4.1 安全获取函数地址

避免使用可能被Hook的GetProcAddress：

FARPROC WINAPI MyGetProcAddress(PVOID lpBaseAddress, LPCSTR FunName) { if (!lpBaseAddress || !FunName) return 0; PIMAGE_DOS_HEADER dosHeader = (PIMAGE_DOS_HEADER)lpBaseAddress; PIMAGE_NT_HEADERS ntHeader = (PIMAGE_NT_HEADERS)((BYTE*)lpBaseAddress + dosHeader->e_lfanew); PIMAGE_EXPORT_DIRECTORY exports = (PIMAGE_EXPORT_DIRECTORY)((BYTE*)lpBaseAddress + ntHeader->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT].VirtualAddress); DWORD* nameTable = (DWORD*)((BYTE*)lpBaseAddress + exports->AddressOfNames); DWORD* addressTable = (DWORD*)((BYTE*)lpBaseAddress + exports->AddressOfFunctions); WORD* ordinalTable = (WORD*)((BYTE*)lpBaseAddress + exports->AddressOfNameOrdinals); for (DWORD i = 0; i < exports->NumberOfNames; i++) { PCHAR pFuncName = (PCHAR)((BYTE*)lpBaseAddress + nameTable[i]); if (!_stricmp(pFuncName, FunName)) { return (FARPROC)((BYTE*)lpBaseAddress + addressTable[ordinalTable[i]]); } } return 0; }

4.2 实现LdrLoadDll钩子函数

NTSTATUS __stdcall _LdrLoadDll( PWSTR SearchPath, PULONG DllCharacteristics, PUNICODE_STRING DllName, PVOID* BaseAddress ) { CHAR cDllName[MAX_PATH] = {0}; sprintf_s(cDllName, "%S", DllName->Buffer); // 检查DLL黑名单 for (int i = 0; i < dwNotAllowDllCount; i++) { if (strstr(cDllName, cNotAllowDlls[i])) { printf("Blocked DLL: %s\n", cDllName); return STATUS_ACCESS_DENIED; } } // 恢复原始函数执行 memcpy(lpAddr, OriginalBytes, sizeof(OriginalBytes)); NTSTATUS status = ((LdrLoadDll_)lpAddr)(SearchPath, DllCharacteristics, DllName, BaseAddress); HookLoadDll(lpAddr); // 重新安装Hook printf("Loaded DLL: %s\n", cDllName); return status; }