远程线程调用 LoadLibrary 失败，错误为 87

Question

我试图创建一个远程线程来加载我编写的 DLL，并从中运行一个函数。 DLL 工作正常（已检查），但由于某种原因，远程线程失败并且创建它的进程停止响应。

我使用 ollyDebug 尝试查看出了什么问题，我注意到两件事......

1. 我的字符串（dll 名称和函数名称）已正确传递到远程线程线程
2. 在 LoadLibrary 上失败，最后错误代码 87“ERROR_INVALID_PARAMETER”

我的最佳猜测不知何故，远程线程找不到 LoadLibrary （这是因为链接器是根据我的进程完成的吗？？？，只是猜测......）

我做错了什么？

这是远程函数的代码：

static DWORD WINAPI SetRemoteHook (DATA *data)
{
  HINSTANCE dll;
  HHOOK WINAPI hook;
  HOOK_PROC hookAdress;

  dll = LoadLibrary(data->dll);

  hookAdress = (HOOK_PROC) GetProcAddress(dll,data->func);
  if (hookAdress != NULL)
  {
    (hookAdress)(); 
  }
  return 1;
}

编辑：

这是我将内存分配给远程进程的部分：

typedef struct
{
    char* dll;
    char* func;
} DATA;

char* dllName = "C:\\Windows\\System32\\cptnhook.dll";  
char* funcName = "SetHook";
char* targetPrgm = "mspaint.exe";
Data lData;
lData.dll = (char*) VirtualAllocEx( explorer, 0, sizeof(char)*strlen(dllName), MEM_COMMIT, PAGE_READWRITE );
lData.func = (char*) VirtualAllocEx( explorer, 0, sizeof(char)*strlen(funcName), MEM_COMMIT, PAGE_READWRITE );
WriteProcessMemory( explorer, lData.func, funcName, sizeof(char)*strlen(funcName), &v );
WriteProcessMemory( explorer, lData.dll, dllName, sizeof(char)*strlen(dllName), &v );
rDataP = (DATA*) VirtualAllocEx( explorer, 0, sizeof(DATA), MEM_COMMIT, PAGE_READWRITE );
WriteProcessMemory( explorer, rDataP, &lData, sizeof(DATA), NULL );

编辑： 看起来问题是远程线程正在调用“垃圾”地址 而不是 LoadLibrary 基地址。是否有可能链接的 Visual studio 远程进程LoadLibrary地址错误？

编辑： 当我尝试运行与本地线程相同的代码时（我在 CreateRemoteThread 中使用当前进程的句柄），整个事情运行得很好。什么会导致这种情况？

我应该添加调用函数代码吗？它似乎正在尽其职责 代码正在远程线程中使用正确的参数执行...

代码是在 VS2010 下编译的。

data 是一个简单的结构，名称带有 char* 。 （因为在代码中明确编写字符串会导致指向我原始过程的指针）。

我做错了什么？

Answer 1

失败并显示 ERROR_INVALID_PARAMETER 表示传递的参数存在问题。

因此，应该查看 data->dll，它代表唯一有问题的参数。

它在这里初始化：

lData.dll = VirtualAllocEx(explorer, 0, sizeof(char) * (strlen(dllName) + 1), MEM_COMMIT, PAGE_READWRITE);

所以让我们添加一个检查是否分配引用的内存应该存储到lData.dll中，确实成功了。

if (!lData.dll) {
  // do some error logging/handling/whatsoever
}

完成此操作后，您可能会发现所实现的调用失败，因为（来自 MSDN 的 VirtualAllocEx() 的逐字记录）：

如果您尝试提交尚未提交的页面，则该函数将失败
预订的。生成的错误代码为 ERROR_INVALID_ADDRESS。

因此，您可能想按照建议修改相关调用的第四个参数（再次逐字来自 MSDN）：

要一步保留并提交页面，请使用以下命令调用 VirtualAllocEx
MEM_COMMIT | MEM_RESERVE。

PS：对分配lData.func的调用重复此练习。 ;-)

Answer 2

LoadLibrary 实际上可能是 LoadLibraryW 的别名（取决于项目设置），这是 Unicode 版本。每当您使用带有“char”字符串而不是“TCHAR”的 Windows API 时，您应该显式使用 ANSI 版本名称。这将防止在编写代码时出现调试麻烦，并且在将来项目转向 Unicode 时，您或其他人也能避免出现调试麻烦。

因此，除了解决可怕的未终止字符串问题之外，请确保使用：

LoadLibraryA(data->dll);