問題描述：
采用全域鉤子的方式將dll注入了目標行程，并成功hook了目標行程里的函式Fun。使其呼叫時會先進入我的函式Fun_My。這些都沒有問題。但是在我要卸載鉤子的時候，如果剛好代碼執行在我的函式Fun_My的代碼里。就會崩潰。因為我已經卸載了dll，也就是dll已經不在目標行程里了。這時候Fun_My也是無效的內容了，并不是以前的正確的代碼段。所以目標行程就崩潰了。
這種情況下，在我的dll執行detach即將卸載的時候，如何確保代碼并不在Fun_My里面執行呢。
當然我肯定是提前執行了對函式的unhook的，只是最后的一次hook到的函式，可能還在Fun_My里面執行，還沒有執行完回傳。這就出了問題。
大家有遇到過么，或是思考過這個問題，有啥好的處理方法啊，關于技術的意見建議討論都歡迎。感謝。
uj5u.com熱心網友回復：
如果是IAT/EAT HOOK，則先恢復匯入/匯出表，再行卸載。其他方式各有類似恢復手段。再有一種則是將代碼二進制，然后直接遠程注入，這樣無dll亦可。
uj5u.com熱心網友回復：
多謝回答。和我的問題不太一致啊。如何unhook處理我知道。我意思是，代碼正在執行Fun_My的時候。請注意這時候地址是在我的dll的空間里的，因為執行的是Fun_My我的hook函式，如果在Fun_My還沒有執行完，還沒回傳的時候，我做了unhook操作，這時候就會卸載我的dll，可又正在執行dll里的Fun_My函式，執行的代碼所在模塊被卸載，肯定就崩潰了
uj5u.com熱心網友回復：
把卸載部分也做一個匯出介面，Hook 部分進入Hook函式的時候設定個標記， 退出時清除
DLL中卸載時先等待標記無效時再卸載
uj5u.com熱心網友回復：
參考WinAPIOverride32源代碼？uj5u.com熱心網友回復：
多謝回復，我嘗試過的也大概是這個思路。
但是這并不是理想的方式，比如極限的情況，剛進入函式，正處于壓參的代碼時，這時候還不到設定標記，但是卻一定會進入函式。
或是在函式離開的時候，雖然已經恢復了標記，但是匯編代碼還處于平堆疊的時候，一樣會出問題。
當然上面說的都是特殊情況，但是代碼就是這樣，往往出問題的就是在一些特殊運行情況下。
uj5u.com熱心網友回復：
能除錯嗎，是那行代碼出錯了。uj5u.com熱心網友回復：
感謝回復，不過貌似沒看明白問題，還是感謝。uj5u.com熱心網友回復：
看了WinAPIOverride32源代碼，主要是不同的hook方式的實作。針對unhook就是按常規做的，并沒有特殊的處理。也就是說，它也存在這個問題。uj5u.com熱心網友回復：
這么看來你hook的函式要么是被頻繁呼叫的，要么是處理耗時較長的，問題本質上就是多執行緒安全。可模擬COM那樣加個參考計數，并在你的處理函式中內置標記unhookuj5u.com熱心網友回復：
多謝回復，我嘗試過的也大概是這個思路。
但是這并不是理想的方式，比如極限的情況，剛進入函式，正處于壓參的代碼時，這時候還不到設定標記，但是卻一定會進入函式。
或是在函式離開的時候，雖然已經恢復了標記，但是匯編代碼還處于平堆疊的時候，一樣會出問題。
當然上面說的都是特殊情況，但是代碼就是這樣，往往出問題的就是在一些特殊運行情況下。
另外這個和平時說的多執行緒安全還是有點不同，那個是對訪問修改等做臨界，說白了就是只允許串行進入，可先可后。但是這里是再也不進入。
uj5u.com熱心網友回復：
你這里卸載dll是為了什么uj5u.com熱心網友回復：
因為我的監測程式關閉了啊。那我做的全域hook，肯定是要unhook的。注入的對應dll自然也會detach
uj5u.com熱心網友回復：
你的這個問題類似于 DLL 如何卸載自身的問題。在你的函式需要卸載 DLL 的時候，在呼叫卸載函式的時候，壓入回傳地址，進入你卸載后需要執行的代碼。
在你的卸載函式結束的時候，手動彈出回傳堆疊，這樣 ret 回傳的時候，就可以進入你設定的代碼了。
uj5u.com熱心網友回復：
感謝回答，你說得是另一個問題了。目前我的問題是，已經卸載后，還有其他地方還在繼續呼叫執行已經不存在的dll地址里的函式，所以崩潰。
uj5u.com熱心網友回復：
如果你的DLL沒有卸載的話(FreeLibrary) UnhookWindowsHookEx 應該不會導致程式奔潰， (可以測驗下Hook中僅呼叫 CallNextHookEx 而不作其它任何事)UnHookSafe()
{
if(hhk)
{
UnhookWindowsHookEx(hhk);
while(bHookDoing) sleep(0);
hhk = NULL;
}
}
寫日志
uj5u.com熱心網友回復：
因為注入后hook了目標行程里的其他函式到我自己的函式，如果我的主行程關閉，就需要呼叫UnhookWindowsHookEx，這時候就導致目標行程里的dll被卸載，但是很可能正執行在我的hook函式里，，而這時我的dll卻被卸載，所以崩潰。
uj5u.com熱心網友回復：
明白了，那就dll延遲并自卸載uj5u.com熱心網友回復：
目前就是這么做的，加載后不卸載。
一直覺得這個方式不夠優雅，所以提出來和大家討論討論。
因為我除錯過其他一些類似的程式，它們確實是卸載了的，而且不會有問題，最少我測驗很長時間很多次，沒出問題。
所以看看大家有沒有處理這個問題的好建議。
uj5u.com熱心網友回復：
沒什么優雅不優雅的，能解決問題就行，直接freelibrary肯定有隱患，必要時可能得手工清理現場，非是那些搞安全的估計都不清楚，平時作業中用不到也基本不會去試。
退一步說，卸不卸載與優雅沒關系，COM的dll與你的有些類似，可不需要你去卸載。
uj5u.com熱心網友回復：
當然有關系，dll一直被占用，不能洗掉。而且既然dll在，何其關聯的一切dll都會被加載，記憶體占用很大。全域監控，所有行程都會加載，也就是說，所有行程對記憶體的消耗都會增加。
uj5u.com熱心網友回復：
如果功能不復雜,試試shellcode能不能達到目的uj5u.com熱心網友回復：
hook 能不能 使用 臨界區 ？uj5u.com熱心網友回復：
可以使用。不過這個問題臨界解不了。在另一貼子里也討論過。
http://bbs.csdn.net/topics/392024311
轉載請註明出處，本文鏈接：https://www.uj5u.com/gongcheng/125154.html
標籤：進程/線程/DLL
上一篇：VC和matlab混編出現問題，mxArray無法識別怎么辦
下一篇：判斷當前播放的視頻是否為本地視頻