LoadLibrary,DllMain,Кто загрулил DLL?

Да тут ваще налицо черезжопная архитектура. Таких извратов быть не должно имхо.

 

Лучший вариант дрбавить в плагин функцию типа Initialize(HMODULE hParent) как писалось ранее; И вызывать ее.

 

_sheva740
Как написал ниже Twister это не очень хорошее решение.

asd

К примеру DLL необходимо получить какие нибуть данные для собственной инициализации.

А как быть в случае если загружающий модуль не был написан мной?

Twister
Интересное решение, но думаю это может перестать работать в будующих врсиях WinAPI(как и PEB).

FatMoon
Незнаю, буду проверять, но это гараздо более длинный путь чем если бы существовала
функция "GetParentModule".


Спасибо за ответы, пожже я ещё подумаю над этим, и отпишусь.

 

Только раскрутка стека или первоначальный перехват LdrLoadDll.....

 

Дык это никому не нужно и нелогично)

Если у вас белое приложение может озвучите зачем вам знать какой модуль вас грузит? Не представляю для чего это может быть нужно...

 

Ответ Twistera самое оно! Что значит перестанет работать в других версиях? Стек будет не так работать? Отличная шутка! Это самый простой и быстрый способ! ИМХО

 

Разрабатывать единый интерфейс. А потом кодить

 

Заюзать StackWalk64 религия не позволяет?

 

А то и значит. К примеру некто(троян, некая абстрактная защита, некий абстрактный фаервол) установил перехват на LoadLibrary в результате которого в стеке появляется ещё 1 адрес возврата. Что делать будем? Костылей на разные случаи придумать можно много, но лучше всё же без них обойтись.

 

Необходимо ориентироваться не на количество адресов возврата после "отправной точки", а искать возврат из LoadLibrary-функций (их много разных) в несистемный модуль.

 

Twister
если перехват установлен через таблицу импорта модуля х, а заглушка имеет вид

push FileName
call LoadLibrary
....
ret 4

то возврат из LoadLibrary будет в заглушку, а она может находиться как в выделенной памяти, так и в каком-то левом модуле.

Либо же, к примеру, перехват установлен сплайсом LoadLibrary. Он меняет адрес возврата из LoadLibrary, чтобы получить управление после её выполнения. Тогда у нас вообще нет в стеке валидного адреса.

 

asd
Да, разумеется. Если вызов LoadLibrary сделан как-то нестандартно или из заглушки, то верный адрес нам не получить. В этом случае задача не имеет решения. По крайней мере через раскрутку стека точно.

 

это всего лишь частный случай.