技术备忘

技术备忘

DLL注入程序的一般步骤：

（1）取得宿主进程（即要注入木马的进程）的进程ID dwRemoteProcessId；

（2）取得DLL的完全路径，并将其转换为宽字符模式pszLibFileName；

（3）利用Windows API OpenProcess打开宿主进程，应该开启下列选项：

a.PROCESS_CREATE_THREAD：允许在宿主进程中创建线程；

b.PROCESS_VM_OPERATION：允许对宿主进程中进行VM操作；

c.PROCESS_VM_WRITE：允许对宿主进程进行VM写。

（4）利用Windows API VirtualAllocEx函数在远程线程的VM中分配DLL完整路径宽字符所需的存储空间，并利用Windows API WriteProcessMemory函数将完整路径写入该存储空间；

（5）利用Windows API GetProcAddress取得Kernel32模块中LoadLibraryW函数的地址，这个函数将作为随后将启动的远程线程的入口函数；

（6）利用Windows API CreateRemoteThread启动远程线程，将LoadLibraryW的地址作为远程线程的入口函数地址，将宿主进程里被分配空间中存储的完整DLL路径作为线程入口函数的参数以另其启动指定的DLL；

（7）清理现场。