win7 64 DLL的远程注入技术及注入dll函数调用

关注

VIP免费原创最新推荐文章于 2025-08-19 12:14:26 发布 1.4w 阅读 AI 写同款· GEO 优化 ›

DLL加载器-远程线程注入（常规dll注入）注入思路先获取到LoadLibrary的函数地址，之后使用CreateRemoteThread加载这段地址即可简单例子： D:\VS项目\Dll3\x64\Debug\Dll3.dll kernel.dll加载的地址在所有进程都是一样的 https://zhuanlan.zhihu.com/p/599915628?utm_id=0 DLL进程注入 dll注入器生成dll-2-1.exe 这里注入的exe是notepad++，找到其进程，注入的dll是我cs生成的beacon.dll 主要思路是：阅读详情

一、DLL注入

DLL的远程注入技术是目前Win32病毒广泛使用的一种技术。使用这种技术的病毒体通常位于一个DLL中，在系统启动的时候，一个EXE程序会将这个DLL加载至某些系统进程（如Explorer.exe）中运行。
这样一来，普通的进程管理器就很难发现这种病毒了，而且即使发现了也很难清除，因为只要病毒寄生的进程不终止运行，那么这个DLL就不会在内存中卸载，
用户也就无法在资源管理器中删除这个DLL文件，真可谓一箭双雕哉。记得2003年QQ尾巴病毒肆虐的时候，就已经有些尾巴病毒的变种在使用这种技术了。
到了2004年初，我曾经尝试着仿真了一个QQ尾巴病毒，但独是跳过了DLL的远程加载技术。直到最近在学校论坛上看到了几位朋友在探讨这一技术，便忍不住将这一尘封已久的技术从我的记忆中拣了出来，以满足广大的技术爱好者们。
在阅读本文之前，你需要了解以下几个API函数：

　　·OpenProcess - 用于打开要寄生的目标进程。

　　·VirtualAllocEx/VirtualFreeEx - 用于在目标进程中分配/释放内存空间。

　　·WriteProcessMemory - 用于在目标进程中写入要加载的DLL名称。

　　·CreateRemoteThread - 远程加载DLL的核心内容，用于控制目标进程调用API函数。

　　·LoadLibrary - 目标进程通过调用此函数来加载病毒DLL。

在此我只给出了简要的函数说明，关于函数的详细功能和介绍请参阅MSDN。

示例程序

　　我将在以下的篇幅中用一个简单的示例Virus.exe来实现这一技术。这个示例的界面如下图：

（1）首先运行Target.exe，这个文件是一个用Win32 Application向导生成的“Hello, World”程序，用来作为寄生的目标进程。

（2）然后在界面的编辑控件中输入进程的名称“Target.exe”，单击“注入DLL”按钮，这时候Virus.exe就会将当前目录下的DLL.dll注入至Target.exe进程中。

（3）在注入DLL.dll之后，你也可以单击“卸载DLL”来将已经注入的DLL卸载。

　　模拟的病毒体DLL.dll

　　这是一个简单的Win32 DLL程序，它仅由一个入口函数DllMain组成：

[cpp]view plaincopy 
   
 BOOL WINAPI DllMain( HINSTANCE hinstDLL, DWORD fdwReason, LPVOID lpvReserved )  
 {  
 　switch ( fdwReason )  
 　{  
 　　case DLL_PROCESS_ATTACH:  
 　　{  
 　　　MessageBox( NULL, _T("DLL已进入目标进程。"), _T("信息"), MB_ICONINFORMATION );  
 　　}  
 　　break;  
 　　case DLL_PROCESS_DETACH:  
 　　{  
 　　　MessageBox( NULL, _T("DLL已从目标进程卸载。"), _T("信息"), MB_ICONINFORMATION );  
 　　}  
 　　break;  
 　}  
 　return TRUE;  
 }   

如你所见，这里我在DLL被加载和卸载的时候调用了MessageBox，这是用来显示我的远程注入/卸载工作是否成功完成。而对于一个真正的病毒体来说，
它往往就是处理DLL_PROCESS_ATTACH事件，在其中加入了启动病毒代码的部分：

[cpp]view plaincopy 
   
 case DLL_PROCESS_ATTACH:  
 {  
 　StartVirus();  
 }  
 break;   

注入！
现在要开始我们的注入工作了。首先，我们需要找到目标进程：

 
   [cpp]  
  

最低0.47元/天解锁文章

浅谈DLL劫持最近在搞内网，需要实现免杀后门，大佬推荐了dll劫持，DLL劫持后，能干很多事情，比如杀软对某些厂商的软件是实行白名单的，你干些敏感操作都是不拦截，不提示的。还有留后门，提权等等。本文主要介绍如何检测dll劫持，以及实例演示。 1|0DLL劫持 1|1dll文件是什么？ DLL(Dynamic Link Library)文件为动态链接库文件，又称"应用程序拓展"，是软件文件类型。... 阅读详情

win7 64 DLL的远程注入技术 及注入dll函数调用

一、DLL注入

示例程序

相关推荐

win7 64 DLL的远程注入技术及注入dll函数调用