DLL劫持场景下：如何避免DllMain结束后线程终止及主进程退出

首先纠正代码里的语法错误：LiveBackgroundListenerFunction里的While要改成小写的while，否则编译不通过。

接下来针对你的问题，分核心问题和具体方案拆解：

1. 后台线程终止的根本原因 #

你的线程不是随DllMain结束而终止，而是主进程加载完所有模块后直接退出，整个进程终止导致线程被销毁。核心解决方向是让主进程保持运行，而非在DllMain内做阻塞操作。

2. 绝对禁止在DllMain内做阻塞操作 #

DllMain运行在Windows的**加载锁（Loader Lock）**临界区内，任何阻塞操作（比如while(1)、WaitForSingleObject）都会导致其他模块无法加载/卸载，甚至引发系统级死锁，这是Windows的硬性机制，必须严格遵守。

具体实现方案 #

方案一：挂钩主进程的退出函数 #

通过拦截主进程的退出触发函数，阻止进程终止：

• 对于控制台程序：挂钩ExitProcess函数，当主进程调用它时，跳过原退出逻辑，进入自定义的循环等待。
• 对于GUI程序：挂钩PostQuitMessage函数，拦截退出消息，让消息循环持续运行。

简化示例代码（挂钩ExitProcess）：

typedef void(WINAPI* pExitProcess)(UINT uExitCode);
pExitProcess OriginalExitProcess;

void WINAPI HookedExitProcess(UINT uExitCode) {
    // 阻止进程退出，进入无限循环
    while (true) {
        Sleep(1000);
    }
    // 若需在特定条件下退出，可在此调用OriginalExitProcess(uExitCode);
}

// 在后台线程中初始化挂钩（禁止在DllMain内执行）
void InitHooks() {
    HMODULE hKernel32 = GetModuleHandleA("kernel32.dll");
    OriginalExitProcess = (pExitProcess)GetProcAddress(hKernel32, "ExitProcess");
    // 此处需用挂钩库（如Detours）或手动修改IAT替换函数地址，伪代码仅作示意
    ReplaceFunction((void**)&OriginalExitProcess, HookedExitProcess);
}

方案二：接管主进程主线程逻辑 #

如果主进程是控制台程序，可挂钩它的main函数，在原逻辑执行完毕后添加循环，让主线程持续运行：

typedef int(*pMain)(int argc, char* argv[]);
pMain OriginalMain;

int HookedMain(int argc, char* argv[]) {
    int ret = OriginalMain(argc, argv);
    // 原main执行完成后，阻止主线程退出
    while (true) {
        Sleep(1000);
    }
    return ret;
}

方案三：监控主线程状态（测试场景可用） #

在你的后台线程中，获取主进程主线程句柄，定期检查其状态，若主线程即将退出则挂起它（仅适合测试，可能导致进程不稳定）：

void LiveBackgroundListenerFunction() {
    // 获取控制台程序的主线程ID
    DWORD mainThreadId = GetWindowThreadProcessId(GetConsoleWindow(), NULL);
    HANDLE hMainThread = OpenThread(THREAD_ALL_ACCESS, FALSE, mainThreadId);
    
    while (1) {
        Sleep(5000);
        // 检查主线程是否已进入退出状态
        DWORD threadState = WaitForSingleObject(hMainThread, 0);
        if (threadState == WAIT_OBJECT_0) {
            SuspendThread(hMainThread);
        }
        // 执行你的业务逻辑......
    }
    CloseHandle(hMainThread);
}

关键注意事项 #

• 所有挂钩、线程初始化操作必须在DllMain之外执行（比如在你创建的后台线程里），避免触发加载锁死锁。
• 测试场景下可用无限循环快速验证，实际场景需添加优雅退出的触发条件。

内容的提问来源于stack exchange，提问作者andrew lockwood