SetWindowsHookEx DLL entladen

Question

Ich verwende SetWindowsHookEx, um eine DLL in einen anderen Prozess zu injizieren. Wenn das Injektorprogramm jedoch endet, wird die DLL aus dem anderen Prozess entladen. Gibt es überhaupt für mich, das Entladen zu stoppen? Grundsätzlich möchte ich, dass die DLL permanent persistiert, unabhängig davon, ob das Injektorprogramm noch läuft. Wenn ich in der Lage bin, die Anzahl der DLL-Referenzen innerhalb der DLL zu erhöhen, könnte das funktionieren. Aber ich habe keinen Weg gefunden.

Answer 1

existieren 2 Weg 1.) am effektivsten - verwenden Sie LdrAddRefDll - dies tun genau das, was Sie in kürzester Zeit brauchen. Sie müssen ntdll.lib (oder ntdllp.lib) zum Verknüpfen verwenden.

LdrAddRefDll(0, (HMODULE)&__ImageBase); 

2) nicht schön und effektiv, aber

WCHAR sz[MAX_PATH]; 
if (GetModuleFileName((HMODULE)&__ImageBase, sz, RTL_NUMBER_OF(sz))) 
{ 
    LoadLibrary(sz); 
}