比较大的应用程序都由很多模块组成，这些模块分别完成相对独立的功能，它们彼此协作来完成整个软件系统的工作。可能存在一些模块的功能较为通用，在构造其它软件系统时仍会被使用。在构造软件系统时，如果将所有模块的源代码都静态编译到整个应用程序 EXE 文件中，会产生一些问题：一个缺点是增加了应用程序的大小，它会占用更多的磁盘空间，程序运行时也会消耗较大的内存空间，造成系统资源的浪费；另一个缺点是，在编写大的 EXE 程序时，在每次修改重建时都必须调整编译所有源代码，增加了编译过程的复杂性，也不利于阶段性的单元测试。
Windows 系统平台上提供了一种完全不同的较有效的编程和运行环境，你可以将独立的程序模块创建为较小的 DLL 文件，并可对它们单独编译和测试。在运行时，只有当 EXE 程序确实要调用这些 DLL 模块的情况下，系统才会将它们装载到内存空间中。这种方式不仅减少了 EXE 文件的大小和对内存空间的需求，而且使这些 DLL 模块可以同时被多个应用程序使用。Windows 自己就将一些主要的系统功能以 DLL 模块的形式实现。
一般来说，DLL 是一种磁盘文件，以.dll、.DRV、.FON、.SYS 和许多以 .EXE 为扩展名的系统文件都可以是 DLL。它由全局数据、服务函数和资源组成，在运行时被系统加载到调用进程的虚拟空间中，成为调用进程的一部分。如果与其它 DLL 之间没有冲突，该文件通常映射到进程虚拟空间的同一地址上。DLL 模块中包含各种导出函数，用于向外界提供服务。DLL 可以有自己的数据段，但没有自己的堆栈，使用与调用它的应用程序相同的堆栈模式；一个 DLL 在内存中只有一个实例；DLL 实现了代码封装性；DLL 的编制与具体的编程语言及编译器无关。
在 Win32 环境中，每个进程都复制了自己的读/写全局变量。如果想要与其它进程共享内存，必须使用内存映射文件或者声明一个共享数据段。DLL 模块需要的堆栈内存都是从运行进程的堆栈中分配出来的。Windows 在加载 DLL 模块时将进程函数调用与 DLL 文件的导出函数相匹配。Windows *** 作系统对 DLL 的 *** 作仅仅是把 DLL 映射到需要它的进程的虚拟地址空间里去。DLL 函数中的代码所创建的任何对象（包括变量）都归调用它的线程或进程所有。
调用方式：
1、静态调用方式：由编译系统完成对 DLL 的加载和应用程序结束时 DLL 卸载的编码（如还有其它程序使用该 DLL，则 Windows 对 DLL 的应用记录减1，直到所有相关程序都结束对该 DLL 的使用时才释放它，简单实用，但不够灵活，只能满足一般要求。
隐式的调用：需要把产生动态连接库时产生的 .LIB 文件加入到应用程序的工程中，想使用 DLL 中的函数时，只须说明一下。隐式调用不需要调用 LoadLibrary() 和 FreeLibrary()。程序员在建立一个 DLL 文件时，链接程序会自动生成一个与之对应的 LIB 导入文件。该文件包含了每一个 DLL 导出函数的符号名和可选的标识号，但是并不含有实际的代码。LIB 文件作为 DLL 的替代文件被编译到应用程序项目中。
当程序员通过静态链接方式编译生成应用程序时，应用程序中的调用函数与 LIB 文件中导出符号相匹配，这些符号或标识号进入到生成的 EXE 文件中。LIB 文件中也包含了对应的 DL L文件名（但不是完全的路径名），链接程序将其存储在 EXE 文件内部。
当应用程序运行过程中需要加载 DLL 文件时，Windows 根据这些信息发现并加载 DLL，然后通过符号名或标识号实现对 DLL 函数的动态链接。所有被应用程序调用的 DLL 文件都会在应用程序 EXE 文件加载时被加载在到内存中。可执行程序链接到一个包含 DLL 输出函数信息的输入库文件(.LIB文件)。 *** 作系统在加载使用可执行程序时加载 DLL。可执行程序直接通过函数名调用 DLL 的输出函数，调用方法和程序内部其 它的函数是一样的。
2、动态调用方式：是由编程者用 API 函数加载和卸载 DLL 来达到调用 DLL 的目的，使用上较复杂，但能更加有效地使用内存，是编制大型应用程序时的重要方式。
显式的调用：
是指在应用程序中用 LoadLibrary 或 MFC 提供的 AfxLoadLibrary 显式的将自己所做的动态连接库调进来，动态连接库的文件名即是上面两个函数的参数，再用 GetProcAddress() 获取想要引入的函数。自此，你就可以象使用如同本应用程序自定义的函数一样来调用此引入函数了。在应用程序退出之前，应该用 FreeLibrary 或 MFC 提供的 AfxFreeLibrary 释放动态连接库。直接调用 Win32 的 LoadLibary 函数，并指定 DLL 的路径作为参数。LoadLibary 返回 HINSTANCE 参数，应用程序在调用 GetProcAddress 函数时使用这一参数。GetProcAddress 函数将符号名或标识号转换为 DLL 内部的地址。程序员可以决定 DLL 文件何时加载或不加载，显式链接在运行时决定加载哪个 DLL 文件。使用 DLL 的程序在使用之前必须加载（LoadLibrary）加载DLL从而得到一个DLL模块的句柄，然后调用 GetProcAddress 函数得到输出函数的指针，在退出之前必须卸载DLL(FreeLibrary)。
正因为DLL 有占用内存小，好编辑等的特点有很多电脑病毒都是DLL格式文件。但不能单独运行。
动态链接库通常都不能直接运行，也不能接收消息。它们是一些独立的文件，其中包含能被可执行程序或其它DLL调用来完成某项工作的函数。只有在其它模块调用动态链接库中的函数时，它才发挥作用。
dll和内存管理
在Win32中，DLL文件按照片段（sections）进行组织。每个片段有它自己的属性，如可写或是只读、可执行（代码）或者不可执行（数据）等等。
DLL代码段通常被使用这个DLL的进程所共享；也就是说它们在物理内存中占据一个地方，并且不会出现在页面文件中。如果代码段所占据的物理内存被收回，它的内容就会被放弃，后面如果需要的话就直接从DLL文件重新加载。
与代码段不同，DLL的数据段通常是私有的；也就是说，每个使用DLL的进程都有自己的DLL数据副本。作为选择，数据段可以设置为共享，允许通过这个共享内存区域进行进程间通信。但是，因为用户权限不能应用到这个共享DLL内存，这将产生一个安全漏洞；也就是一个进程能够破坏共享数据，这将导致其它的共享进程异常。例如，一个使用访客账号的进程将可能通过这种方式破坏其它运行在特权账号的进程。这是在DLL中避免使用共享片段的一个重要原因。
当DLL被如UPX这样一个可执行的packer压缩时，它的所有代码段都标记为可以读写并且是非共享的。可以读写的代码段，类似于私有数据段，是每个进程私有的并且被页面文件备份。这样，压缩DLL将同时增加内存和磁盘空间消耗，所以共享DLL应当避免使用压缩DLL。[1][2]
[3]找到DLL文件地址：C:\WINDOWS\system32\****.dll时出错(****就是你的那个找不到的文件名)
开始－－运行－－msconfig－－启动－－找到和你说的类似的选项****－－取消勾－－确定，然后
1，开始－运行－输入：regedit，然后回车
2，选择“我的电脑”，然后点击“文件”－“导出”－随便起个名字点“保存”。这样做的目的是备份一下注册表，以免误 *** 作后及时恢复。恢复的方法是，找到你刚才保存的文件，双击它，然后选择“允许导入”即可。
3，选择“我的电脑”，按F3键，然后输入“****”，点击“查找下一个”，找到后一定要核对是不是****.dll文件，因为你给的文件名不全，如果确认，对该项点“右键”选“删除”。“此时可以输入****.dll进行查找，结果出来后要看后面的数值部分，不能光看文件名称，只要有****.dll在的文件不管它边上还写没写别的（如：****.dll，load），都要删除！”
4，然后再按F3键－删除，直到提示“没有找到相应选项”为止。
5，重新启动计算机，看看系统有没有问题。
注，如果出现了其它严重问题，请恢复注册表。
这通常是很难的。没有什么特别好的方法可以准确的得到dll的调用接口。一般的办法是这样：
1. 查询dll的导出函数表来得到该dll导出了多少个函数。这可以通过工具软件得到，比如PE Explorer.
2. 自己设计一个加载程序，把该dll加载上来，然后依次调用查找到的所有导出函数。方法是：
2.1 用LoadLibrary加载dll.
2.2 用GetProcAddress通过函数名把函数地址取出，然后假定函数的原型是void ExFun(void)，调用它。
3. 在调试器中设置断点到调用导出函数的语句，F11跟进去。
4. 这个时候就比较麻烦了。首先看函数结尾的ret语句有没有带参数。如果ret带参数，那这个函数有可能是stdcall类型的，那么ret的参数通常就是导出函数参数的字节数。如果ret不带参数，那有可能这个函数不带参数，也有可能函数是cdecl类型的。此时无法判断究竟是哪种情况，需要进一步阅读函数汇编码。
5. 查看整个函数的汇编码，找出所有类似于"ebp+X"的字样，比如ebp+8, ebp+C等，这些都是参数。ebp+4是返回地址。如果函数是stdcall或cdecl类型的，那么ebp+8是函数第一个参数，ebp+C是第二个。
从上面可以看出，如果函数是stdcall类型，可能比较容易找出函数原型。但如果是cdecl类型的，那就要靠运气了。因为有可能函数有参数，却没有使用。
就算函数是stdcall的，然后取得了字节数，又通过第5步的查找法找到了可能的参数的个数。有一种可能是函数传递了一个结构，假定结构是8字节的，栈地址为ebp+C，那么你有可能找不出ebp+10的引用点，这样你就无法确定函数究竟是使用了一个8字节的结构还是没有使用一个参数，这就无法还原函数原型了。
说了这么多，也表达的挺乱的，其实我想表达的是“还是找一个头文件吧。。
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）