C++：实现DLL注入（附带源码）
一、项目背景详细介绍
在 Windows 平台下，DLL（Dynamic Link Library）注入是一项非常经典且重要的技术。它的本质是：
让目标进程在不知情或未主动加载的情况下，加载并执行我们指定的 DLL
DLL 注入在多个领域都有实际应用：
1. 常见应用场景
（1）调试与开发辅助
- 给第三方程序注入日志模块
- Hook API 以观察行为
- 插桩统计函数调用情况
（2）自动化与工具开发
- 游戏辅助工具
- 自动化测试框架
- GUI 注入扩展
（3）安全研究与逆向工程
- API Hook 技术的基础
- 恶意代码分析
- 防注入 / 反调试技术研究
（4）系统级功能扩展
- 无源码扩展已有程序功能
- 动态替换实现逻辑
2. 为什么学习 DLL 注入？
DLL 注入几乎是 Windows 进程模型的“必修课”，它涉及：
- 进程与线程
- 虚拟内存
- Windows API
- 远程线程
- PE / DLL 加载机制
不理解 DLL 注入，就无法真正理解 Windows 用户态程序是如何协作的。
3. 本项目目标
本项目将从：
- 原理
- API 调用流程
- 安全边界
- 完整 C++ 实现
四个层面，完整实现并讲透一个标准 DLL 注入器。
二、项目需求详细介绍
1. 功能需求
实现一个 基于 LoadLibrary 的经典 DLL 注入器，要求：
- 给定目标进程 PID
- 将指定 DLL 注入目标进程
- DLL 在目标进程中成功执行
2. 技术约束
- 平台：Windows
- 语言：C++
- 注入方式：远程线程 + LoadLibrary
- 架构：x86 注入 x86，x64 注入 x64（必须一致）
3. 工程要求
- 完整代码
- 清晰模块划分（通过注释）
- 每个关键步骤有详细中文注释
- 可直接编译运行（Visual Studio）
4. 教学要求
- 解释 为什么这样做
- 解释 Windows 背后的机制
- 不仅“能用”，而且“看懂”
三、相关技术详细介绍
1. Windows 进程与地址空间
每个进程都有独立的虚拟地址空间：
- 进程 A 无法直接访问进程 B 的内存
- DLL 注入的核心问题是：
如何把数据 + 代码“送”进另一个进程
2. DLL 加载机制（LoadLibrary）
当进程调用：
LoadLibrary("xxx.dll");
Windows 会：
- 映射 DLL 到进程地址空间
- 解析 PE 结构
- 解析导入表
- 调用
DllMain(DLL_PROCESS_ATTACH)
DLL 注入的关键点：让目标进程执行 LoadLibrary
3. 远程线程（CreateRemoteThread）
Windows 提供了一个极其关键的 API：
CreateRemoteThread
它允许：
- 在其他进程中创建线程
- 指定线程入口地址
- 传入参数
这正是 DLL 注入的“突破口”。
4. 虚拟内存操作 API
为了把 DLL 路径传给目标进程，需要：
| API | 作用 |
|---|---|
| OpenProcess | 获取目标进程句柄 |
| VirtualAllocEx | 在目标进程中分配内存 |
| WriteProcessMemory | 向目标进程写数据 |
| VirtualFreeEx | 释放远程内存 |
5. 注入完整流程概览
DLL 注入 ≠ 魔法，本质是 API 组合
流程如下：
- 打开目标进程
- 在目标进程中申请内存
- 写入 DLL 路径
- 获取 LoadLibrary 地址
- 创建远程线程
- 等待线程执行完成
- 清理资源
四、实现思路详细介绍
1. 核心设计思想
我们不直接“拷贝 DLL”，而是：
让目标进程自己加载 DLL
这是最稳定、最兼容、最经典的注入方式。
2. 为什么选择 LoadLibrary 注入？
优点：
- 稳定
- API 官方支持
- DLL 生命周期完整
- 易于教学与理解
缺点：
- 容易被安全软件检测
- 属于“老派注入方式”
3. 模块拆分
逻辑分为四个模块：
- 进程句柄获取
- 远程内存操作
- 远程线程创建
- 错误处理与清理
4. 架构注意事项
- 注入器与目标进程 位数必须一致
- DLL 路径必须是 绝对路径
- DLL 必须导出
DllMain
五、完整实现代码
/************************************************************ * 文件：InjectDll.cpp * 描述：基于 LoadLibrary 的 DLL 注入器 ************************************************************/ #include <windows.h> #include <iostream> #include <string> /** * @brief 向指定进程注入 DLL * * @param pid 目标进程 ID * @param dllPath DLL 的完整路径 * @return true 注入成功 * @return false 注入失败 */ bool InjectDll(DWORD pid, const std::wstring& dllPath) { // 1. 打开目标进程 HANDLE hProcess = OpenProcess( PROCESS_CREATE_THREAD | PROCESS_QUERY_INFORMATION | PROCESS_VM_OPERATION | PROCESS_VM_WRITE | PROCESS_VM_READ, FALSE, pid ); if (!hProcess) { std::wcerr << L"OpenProcess failed!" << std::endl; return false; } // 2. 在目标进程中申请内存，用于存放 DLL 路径 size_t size = (dllPath.length() + 1) * sizeof(wchar_t); LPVOID remoteMemory = VirtualAllocEx( hProcess, nullptr, size, MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE ); if (!remoteMemory) { CloseHandle(hProcess); return false; } // 3. 将 DLL 路径写入目标进程 BOOL writeResult = WriteProcessMemory( hProcess, remoteMemory, dllPath.c_str(), size, nullptr ); if (!writeResult) { VirtualFreeEx(hProcess, remoteMemory, 0, MEM_RELEASE); CloseHandle(hProcess); return false; } // 4. 获取 LoadLibraryW 的地址 HMODULE hKernel32 = GetModuleHandleW(L"kernel32.dll"); FARPROC loadLibraryAddr = GetProcAddress(hKernel32, "LoadLibraryW"); if (!loadLibraryAddr) { VirtualFreeEx(hProcess, remoteMemory, 0, MEM_RELEASE); CloseHandle(hProcess); return false; } // 5. 在目标进程中创建远程线程 HANDLE hThread = CreateRemoteThread( hProcess, nullptr, 0, (LPTHREAD_START_ROUTINE)loadLibraryAddr, remoteMemory, 0, nullptr ); if (!hThread) { VirtualFreeEx(hProcess, remoteMemory, 0, MEM_RELEASE); CloseHandle(hProcess); return false; } // 6. 等待远程线程执行完成 WaitForSingleObject(hThread, INFINITE); // 7. 清理资源 CloseHandle(hThread); VirtualFreeEx(hProcess, remoteMemory, 0, MEM_RELEASE); CloseHandle(hProcess); return true; } /************************************************************ * 文件：main.cpp * 描述：注入器入口 ************************************************************/ int main() { DWORD pid; std::wcout << L"请输入目标进程 PID："; std::wcin >> pid; std::wstring dllPath = L"C:\\Test\\Inject.dll"; if (InjectDll(pid, dllPath)) { std::wcout << L"注入成功！" << std::endl; } else { std::wcout << L"注入失败！" << std::endl; } return 0; } /************************************************************ * 文件：InjectDll.dll（示例） ************************************************************/ #include <windows.h> BOOL WINAPI DllMain( HINSTANCE hinstDLL, DWORD fdwReason, LPVOID lpvReserved ) { if (fdwReason == DLL_PROCESS_ATTACH) { MessageBoxW(nullptr, L"DLL 注入成功！", L"Inject", MB_OK); } return TRUE; } 六、代码详细解读（仅解读方法作用）
1. InjectDll 函数
作用：
- 封装完整 DLL 注入流程
- 对外提供简单接口
- 隐藏底层 Windows API 细节
2. OpenProcess
作用：
- 获取目标进程的操作权限
- 是所有远程操作的前提
3. VirtualAllocEx / WriteProcessMemory
作用：
- 在目标进程中创建“参数区”
- 用于传递 DLL 路径
4. GetProcAddress + CreateRemoteThread
作用：
- 获取 LoadLibrary 地址
- 让目标进程执行 DLL 加载
5. DllMain
作用：
- DLL 的入口函数
- 注入成功后自动执行
七、项目详细总结
本项目完整展示了：
- Windows DLL 注入的本质原理
- 注入器的工程实现方式
- 远程线程 + LoadLibrary 的经典模型
这是：
✅ 逆向工程必学
✅ Windows API 深入理解
✅ Hook / 注入 / 安全研究基础
八、项目常见问题及解答
Q1：为什么 x86 不能注入 x64？
答：
- 地址空间不同
- 线程入口地址不兼容
- Windows 强制架构一致
Q2：杀毒软件为什么能检测？
答：
- CreateRemoteThread 行为特征明显
- LoadLibrary 注入属于高风险行为
Q3：能否不使用 LoadLibrary？
答：
可以，例如：
- Reflective DLL Injection
- Manual Mapping
- APC 注入
九、扩展方向与性能优化
1. APC 注入
- 更隐蔽
- 不直接创建线程
2. Manual Map 注入
- 不调用 LoadLibrary
- 绕过模块检测
3. 反注入与防护研究
- Hook CreateRemoteThread
- 检测远程内存写入
4. 64 位安全注入框架
- 适配 Wow64
- 支持跨架构注入
