检查所有加载的模块是否来自操作系统或是否在运行时自动加载

Question

我进行了以下实验：

我注意到当我启动程序/exe 时，它​​会自动加载模块/dll。以下是自动加载的模块列表：

D:\test.exe

C:\WINDOWS\SYSTEM32\ntdll.dll

C:\WINDOWS\System32\KERNEL32.DLL

C:\WINDOWS\System32\KERNELBASE.dll

C:\WINDOWS\SYSTEM32\apphelp.dll

C:\WINDOWS\System32\USER32.dll

C:\WINDOWS\System32\win32u.dll

C:\WINDOWS\System32\GDI32.dll

C:\WINDOWS\System32\gdi32full.dll

C:\WINDOWS\System32\msvcp_win.dll

C:\WINDOWS\System32\ucrtbase.dll

C:\WINDOWS\WinSxS\x86_microsoft.vc90.crt_1fc8b3b9a1e18e3b_9.0.30729.9279_none_50939ec6bcb7c97c\MSVCP90.dll

C:\WINDOWS\WinSxS\x86_microsoft.vc90.crt_1fc8b3b9a1e18e3b_9.0.30729.9279_none_50939ec6bcb7c97c\MSVCR90.dll

C:\WINDOWS\System32\IMM32.DLL

C:\WINDOWS\system32\uxtheme.dll

C:\WINDOWS\System32\msvcrt.dll

C:\WINDOWS\System32\combase.dll

C:\WINDOWS\System32\RPCRT4.dll

C:\WINDOWS\System32\SspiCli.dll

C:\WINDOWS\System32\CRYPTBASE.dll

C:\WINDOWS\System32\bcryptPrimitives.dll

C:\WINDOWS\System32\sechost.dll

C:\WINDOWS\System32\MSCTF.dll

C:\WINDOWS\System32\OLEAUT32.dll

C:\WINDOWS\system32\dwmapi.dll

我的目标：

我想检查 DLL/模块是由操作系统自动加载还是使用 LoadLibrary API 加载。

如果这是一个重复的问题。你能指导我解决问题吗？

谢谢你，美好的一天！

Answer 1

我看到了两种可能的方法：

• 第一种选择，在 DependencyWalker 中运行应用程序。该实用程序可以告诉您何时加载 DLL。这可能会给你一些提示。
• 第二种选择，在调试器中启动应用程序并在 main 中放置一个断点。然后调查 Visual Studio 中加载的模块。这些模块由 Windows 自动加载。当断点被命中时，可在 Windows 函数 LoadLibrary（和 LoadLibraryEx）上设置断点并查看它何时被命中。这些模块是手动加载的（您可以立即看到是谁加载了它们）。

第二种方法假定没有在其 DllMain 方法中显式调用 LoadLibrary 本身的 DLL。但是，这样做是不好的做法，因为它可能导致加载程序锁死锁。