Win32可执行文件dll依赖搜索规则

0x00 win32可执行文件的dll依赖

标题隐藏信息很多，先解读一下。
windows现在可执行文件主要有win32桌面应用程序和UWP(什么是UWP?)应用两大类，本文不会涉及UWP应用的动态库依赖问题。同时dll搜索时有包含manifest配置文件(什么是manifest文件?)的强文件名搜索和仅仅依靠文件名匹配的搜索，而这篇文章只会讨论后者，并且提供两种只影响当前进程dll搜索规则的解决方案。

0x01 监控进程行为的Process Monitor

Process Monitor包含在Sysinternals工具包中，官方下载地址：procmon
默认监控 注册表，文件系统活动，网络活动，进程线程活动。为了方便下面关注可执行文件搜索dll过程，可以只打卡 文件系统活动。
快捷键Ctrl+L打开 规则编辑指定进程名称，否则显示所有进程活动没法看：

Monitor Filter

0x02 来自MSDN的dll搜索规则

这是来自MSDN的dll搜索规则表述: standard-search-order-for-desktop-applications
核心内容翻译一下：
从Windows XP SP2开始，SafeDllSearchMode默认是处于开启状态。如果想将该模式关闭，可以通过将注册表HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager\SafeDllSearchMode值设置为0。如果使用 SetDllDirectory函数设置dll搜索路径，也会自动禁用SafeDllSearchMode。
当SafeDllSearchMode启用时，dll搜索规则如下：

1. 应用程序所在目录。
2. 使用GetSystemDirectory获得的路径，一般是C:\Windows\System32目录。
3. 16位系统文件所在目录，一般是C:\Windows\System目录。
4. 使用GetWindowsDirectory获得的路径，一般是 C:\Windows目录。
5. 当前目录。（指应用程序启动时工作目录）
6. PATH环境变量指定的路径，但不包含 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths中PATH的值。

当SafeDllSearchMode被禁用时，dll搜索规则如下：

1. 应用程序所在目录。
2. 当前目录。（指应用程序启动时工作目录）
3. 使用GetSystemDirectory获得的路径，一般是C:\Windows\System32目录。
4. 16位系统文件所在目录，一般是C:\Windows\System目录。
5. 使用GetWindowsDirectory获得的路径，一般是 C:\Windows目录。
6. PATH环境变量指定的路径，但不包含 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths中PATH的值。

其实比较下来会发现，SafeDllSearchMode是否启用只影响应用程序启动时工作目录的优先级，搜索路径不会变多或变少。

0x03 PATH环境变量的扩展思路

无论SafeDllSearchMode是否启动，第6条搜索顺序始终是来自于PATH环境变量。但是PATH环境变量来自于3个地方：系统级别环境变量，用户级别环境变量。这两个来自于下图：

PATH环境变量

但是还有一个地方隐藏的比较深。其实是进程自身维护的环境变量，这样修改进程自身环境变量不影响其他进程。
以下测试代码在win7和win10上测试通过：

package main

import (
    "fmt"
    "os"
    "syscall"
)

func main() {
    path := os.Getenv("PATH")
    newPath := fmt.Sprintf("%s;%s", "C:\\test", path )
    os.Setenv("PATH", newPath)
    //C:\test会被加入到dll搜索路径
    syscall.LoadLibrary("non-exist.dll")
}

0x04 SetDllDirectory函数

SetDllDirectory是另外一种不改变其他进程dll搜索规则的方案：
以下测试代码在win7和win10上测试通过：

package main

import (
    "fmt"
    "syscall"
    "unsafe"
)

func setDLLSearchDirectory(dir string) (err error) {
    kernel32, err := syscall.LoadLibrary("kernel32.dll")
    if err != nil {
        return
    }
    defer syscall.FreeLibrary(kernel32)
    procSetDllDirectoryW, err := syscall.GetProcAddress(kernel32, "SetDllDirectoryW")
    if err != nil {
        return
    }
    pathW,err := syscall.UTF16PtrFromString(dir)
    if err != nil {
        return
    }
    _, _, callErr := syscall.Syscall(procSetDllDirectoryW, 1, uintptr(unsafe.Pointer(pathW)), 0, 0)
    if callErr != 0 {
        err = fmt.Errorf("SetDllDirectoryW error", callErr)
    }
    return
}

func main() {
    err := setDLLSearchDirectory("C:\\test1")
    if err == nil {
        syscall.LoadLibrary("non-exist.dll")
    } else {
        fmt.Println("setDLLSearchDirectory error:", err.Error())
    }
}