TLS回调函数

TLS回调函数是个啥

TLS全称Thread Local Storage，中文“线程局部存储”。
TLS是各线程的独立的数据存储空间，使用TLS技术可在线程内部独立使用或修改进程的全局数据或静态数据，就像对待自身的局部变量一样。
Buuuuuuuuut，我们今天要来看一下TLS其他的用处。

TLS的特性与利用

TLS的基本样式

TLS的代码实现基本样式如下：

#include <windows.h>
#include <iostream>
#pragma comment(linker, "/INCLUDE:__tls_used")//x64模式下写_tls_used

VOID NTAPI TLS_CALLBACK(PVOID DllHandle, DWORD Reason, PVOID Reserved)
{
        //在这里写你想做的事情
}

//它能跑，你就别管它在干啥
EXTERN_C
#pragma const_seg(".CRT$XLB")
const PIMAGE_TLS_CALLBACK tlsCalls[] = { TLS_CALLBACK, 0 };
#pragma const_seg()

int main()
{

        return 0;
}

每一句都是什么意思呢？不知道，背下来就好了。
P.S.x64模式下需要禁用优化。

TLS被调用的原因

TLS会因为以下4种原因被调用：

即进程、线程的启动前和结束后。
这种特性决定了它经常被用于反调试，你的程序会在main()函数之前就被莫名其妙地中止了。

测试你的TLS回调函数

运行下面的代码，看看你的输出

#include <windows.h>
#include <iostream>
#pragma comment(linker, "/INCLUDE:__tls_used")

VOID NTAPI TLS_CALLBACK(PVOID DllHandle, DWORD Reason, PVOID Reserved)
{
	if (Reason == DLL_PROCESS_ATTACH)
	{
		printf("running TLSCallBack before main()\n");
	}
	if (Reason == DLL_PROCESS_DETACH)
	{
		printf("running TLSCallBack after main()\n");
	}
	if (Reason == DLL_THREAD_ATTACH)
	{
		printf("running TLSCallBack before thread\n");
	}
	if (Reason == DLL_THREAD_DETACH)
	{
		printf("running TLSCallBack after thread\n");
	}
}

EXTERN_C
#pragma const_seg(".CRT$XLB")
const PIMAGE_TLS_CALLBACK tlsCalls[] = { TLS_CALLBACK, 0 };
#pragma const_seg()

VOID my_thread()
{
	printf("thread begin\n");
	printf("thread end\n");
}

int main()
{
	printf("main() begin\n");
	HANDLE hThread = CreateThread(NULL, NULL, (LPTHREAD_START_ROUTINE)my_thread, NULL, NULL, NULL);
	WaitForSingleObject(hThread, 1000);
	printf("main() end\n");
	return 0;
}

理论上应该会输出4遍running TLSCallBack balabala。然鹅，我这里只能输出成这样：

利用TLS藏东西

我们在写代码的时候总有一些事情是不想让别人发现的，比如srand()之类的，或者把真正的加密函数藏起来。我们就可以把它放在TLS中运行。如果你的TLS是可以在main()之后运行的。那么你可以藏成这样：

#include <windows.h>
#include <iostream>
#pragma comment(linker, "/INCLUDE:__tls_used")

VOID NTAPI TLS_CALLBACK0(PVOID DllHandle, DWORD Reason, PVOID Reserved)
{
	if (Reason == DLL_PROCESS_ATTACH)
	{
		//first half of encryption code
	}
	if (Reason == DLL_PROCESS_DETACH)
	{
		//last half of encryption code
                exit(0);
	}
}

VOID NTAPI TLS_CALLBACK1(PVOID DllHandle, DWORD Reason, PVOID Reserved)
{
	//change something that will be used in the last half of encryption code
	ExitProcess(-1);
}

EXTERN_C
#pragma const_seg(".CRT$XLB")
const PIMAGE_TLS_CALLBACK tlsCalls[] = { TLS_CALLBACK0, TLS_CALLBACK1, 0 };
#pragma const_seg()

int main()
{
	//fake encryption code
	return 0;
}

这样程序在执行完TLS_CALLBACK1后会因为ExitProcess(-1)而结束进程，即跳过整个main()函数去执行TLS_CALLBACK0。
如果你像我一样，main()函数后面无法运行TLS，那么你可以藏成这样：

#include <windows.h>
#include <iostream>
#pragma comment(linker, "/INCLUDE:__tls_used")

VOID NTAPI TLS_CALLBACK0(PVOID DllHandle, DWORD Reason, PVOID Reserved)
{
	if (Reason == DLL_PROCESS_ATTACH)
	{
		//first half of encryption code
	}
}

VOID NTAPI TLS_CALLBACK1(PVOID DllHandle, DWORD Reason, PVOID Reserved)
{
	if (Reason == DLL_THREAD_ATTACH)
	{
		//last half of encryption code
	        exit(0);
	}
}

EXTERN_C
#pragma const_seg(".CRT$XLB")
const PIMAGE_TLS_CALLBACK tlsCalls[] = { TLS_CALLBACK0, TLS_CALLBACK1, 0 };
#pragma const_seg()

void my_thread()
{
	//fake encryption code
}

int main()
{
	HANDLE hThread = CreateThread(NULL, NULL, (LPTHREAD_START_ROUTINE)my_thread, NULL, NULL, NULL);
        WaitForSingleObject(hThread, -1);//这样此句之后的东西就不会被执行了
	return 0;
}