C++ 实现 DLL 注入原理与源码示例

2. DLL 加载机制（LoadLibrary）

当进程调用：

LoadLibrary("xxx.dll");

Windows 会：

1. 映射 DLL 到进程地址空间
2. 解析 PE 结构
3. 解析导入表
4. 调用 DllMain(DLL_PROCESS_ATTACH)

DLL 注入的关键点：让目标进程执行 LoadLibrary

3. 远程线程（CreateRemoteThread）

Windows 提供了一个极其关键的 API：

CreateRemoteThread

它允许：

• 在其他进程中创建线程
• 指定线程入口地址
• 传入参数

这正是 DLL 注入的'突破口'。

4. 虚拟内存操作 API

为了把 DLL 路径传给目标进程，需要：

5. 注入完整流程概览

DLL 注入 ≠ 魔法，本质是 API 组合

流程如下：

1. 打开目标进程
2. 在目标进程中申请内存
3. 写入 DLL 路径
4. 获取 LoadLibrary 地址
5. 创建远程线程
6. 等待线程执行完成
7. 清理资源

四、实现思路

1. 核心设计思想

我们不直接'拷贝 DLL'，而是：

让目标进程自己加载 DLL

这是最稳定、最兼容、最经典的注入方式。

2. 为什么选择 LoadLibrary 注入？

优点：

• 稳定
• API 官方支持
• DLL 生命周期完整
• 易于教学与理解

缺点：

• 容易被安全软件检测
• 属于'老派注入方式'

3. 模块拆分

逻辑分为四个模块：

1. 进程句柄获取
2. 远程内存操作
3. 远程线程创建
4. 错误处理与清理

4. 架构注意事项

• 注入器与目标进程 位数必须一致
• DLL 路径必须是 绝对路径
• DLL 必须导出 DllMain

五、完整实现代码

1. InjectDll.cpp (核心注入逻辑)

/************************************************************
 * 文件：InjectDll.cpp
 * 描述：基于 LoadLibrary 的 DLL 注入器
 ************************************************************/
#include <windows.h>
#include <iostream>
#include <string>

/**
 * @brief 向指定进程注入 DLL
 *
 * @param pid 目标进程 ID
 * @param dllPath DLL 的完整路径
 * @return true 注入成功
 * @return false 注入失败
 */
bool InjectDll(DWORD pid, const std::wstring& dllPath) {
    // 1. 打开目标进程
    HANDLE hProcess = OpenProcess(
        PROCESS_CREATE_THREAD | PROCESS_QUERY_INFORMATION |
        PROCESS_VM_OPERATION | PROCESS_VM_WRITE | PROCESS_VM_READ,
        FALSE, pid
    );
    if (!hProcess) {
        std::wcerr << L"OpenProcess failed!" << std::endl;
        return false;
    }

    // 2. 在目标进程中申请内存，用于存放 DLL 路径
    size_t size = (dllPath.length() + 1) * sizeof(wchar_t);
    LPVOID remoteMemory = VirtualAllocEx(
        hProcess, nullptr, size, MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE
    );
    if (!remoteMemory) {
        CloseHandle(hProcess);
        return false;
    }

    // 3. 将 DLL 路径写入目标进程
    BOOL writeResult = WriteProcessMemory(
        hProcess, remoteMemory, dllPath.c_str(), size, nullptr
    );
    if (!writeResult) {
        VirtualFreeEx(hProcess, remoteMemory, 0, MEM_RELEASE);
        CloseHandle(hProcess);
        return false;
    }

    // 4. 获取 LoadLibraryW 的地址
    HMODULE hKernel32 = GetModuleHandleW(L"kernel32.dll");
    FARPROC loadLibraryAddr = GetProcAddress(hKernel32, "LoadLibraryW");
    if (!loadLibraryAddr) {
        VirtualFreeEx(hProcess, remoteMemory, 0, MEM_RELEASE);
        CloseHandle(hProcess);
        return false;
    }

    // 5. 在目标进程中创建远程线程
    HANDLE hThread = CreateRemoteThread(
        hProcess, nullptr, 0, (LPTHREAD_START_ROUTINE)loadLibraryAddr, remoteMemory, 0, nullptr
    );
    if (!hThread) {
        VirtualFreeEx(hProcess, remoteMemory, 0, MEM_RELEASE);
        CloseHandle(hProcess);
        return false;
    }

    // 6. 等待远程线程执行完成
    WaitForSingleObject(hThread, INFINITE);

    // 7. 清理资源
    CloseHandle(hThread);
    VirtualFreeEx(hProcess, remoteMemory, 0, MEM_RELEASE);
    CloseHandle(hProcess);
    return true;
}

2. main.cpp (注入器入口)

/************************************************************
 * 文件：main.cpp
 * 描述：注入器入口
 ************************************************************/
int main() {
    DWORD pid;
    std::wcout << L"请输入目标进程 PID：";
    std::wcin >> pid;
    std::wstring dllPath = L"C:\\Test\\Inject.dll";
    
    if (InjectDll(pid, dllPath)) {
        std::wcout << L"注入成功！" << std::endl;
    } else {
        std::wcout << L"注入失败！" << std::endl;
    }
    return 0;
}

3. InjectDll.dll (示例 DLL)

/************************************************************
 * 文件：InjectDll.dll（示例）
 ************************************************************/
#include <windows.h>

BOOL WINAPI DllMain( HINSTANCE hinstDLL, DWORD fdwReason, LPVOID lpvReserved ) {
    if (fdwReason == DLL_PROCESS_ATTACH) {
        MessageBoxW(nullptr, L"DLL 注入成功！", L"Inject", MB_OK);
    }
    return TRUE;
}

六、代码详细解读

1. InjectDll 函数

作用：

• 封装完整 DLL 注入流程
• 对外提供简单接口
• 隐藏底层 Windows API 细节

2. OpenProcess

作用：

• 获取目标进程的操作权限
• 是所有远程操作的前提

3. VirtualAllocEx / WriteProcessMemory

作用：

• 在目标进程中创建'参数区'
• 用于传递 DLL 路径

4. GetProcAddress + CreateRemoteThread

作用：

• 获取 LoadLibrary 地址
• 让目标进程执行 DLL 加载

5. DllMain

作用：

• DLL 的入口函数
• 注入成功后自动执行

七、项目总结

本项目完整展示了：

• Windows DLL 注入的本质原理
• 注入器的工程实现方式
• 远程线程 + LoadLibrary 的经典模型

这是：

✅ 逆向工程必学 ✅ Windows API 深入理解 ✅ Hook / 注入 / 安全研究基础

八、常见问题及解答

Q1：为什么 x86 不能注入 x64？

答：

• 地址空间不同
• 线程入口地址不兼容
• Windows 强制架构一致

Q2：杀毒软件为什么能检测？

答：

• CreateRemoteThread 行为特征明显
• LoadLibrary 注入属于高风险行为

Q3：能否不使用 LoadLibrary？

答：

可以，例如：

• Reflective DLL Injection
• Manual Mapping
• APC 注入

九、扩展方向与性能优化

1. APC 注入

• 更隐蔽
• 不直接创建线程

2. Manual Map 注入

• 不调用 LoadLibrary
• 绕过模块检测

3. 反注入与防护研究

• Hook CreateRemoteThread
• 检测远程内存写入

4. 64 位安全注入框架

• 适配 Wow64
• 支持跨架构注入