DLL注入其他程序技術
閱讀本篇文章，需要有《執行緒注入其他程序技術》基礎。
DLL注入技術才具有強大的功能和使用性，同時簡單易用，因為DLL中可以實現複雜的功能和很多的技術。
 
 
技術要點：
1、宿主程序呼叫LoadLibrary，就可以完成DLL的遠端注入。可以通過CreateRemoteThread將LoadLibrary作為宿主程序的一個執行緒來啟動，就可以完成“控制目標程序呼叫LoadLibrary”的工作。
2、標準DLL中DllMain，是DLL執行的入口；使用MFC的DLL中InitInstance，是DLL執行的入口，但是沒有訊息迴圈。
   注意：
   a、如果是需要多執行緒，只能使用有DLLMain的標準DLL。因為使用MFC的DLL，在InitInstance中啟動新的執行緒，會在啟動執行緒的地方阻塞不繼續執行。即說，使用帶MFC的DLL只能單執行緒作業。
   b、如果需要使用多執行緒和MFC。可以在標準DLL中先啟動執行緒，再呼叫使用MFC的DLL。
 

實現步驟
1、將DLL的地址拷貝到宿主程序地址空間中
2、通過CreateRemoteThread將LoadLibrary作為宿主程序的一個執行緒來啟動
 
 
可以正確執行的示例程式碼（拷貝後直接可以使用）：
應用程式檔案內容：
// #pragma once

#include <windows.h>
#include <TlHelp32.h>
#include <iostream>
#include <time.h>

// 提升程序訪問許可權
bool enableDebugPriv()
{
    HANDLE  hToken;
    LUID    sedebugnameValue;
    TOKEN_PRIVILEGES tkp;
    if  ( !OpenProcessToken(  GetCurrentProcess(),
                            TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken)
        )
    {
        return false;
    }
    if( !LookupPrivilegeValue(NULL, SE_DEBUG_NAME, &sedebugnameValue) )
    {
        CloseHandle(hToken);
        return false;
    }
    tkp.PrivilegeCount = 1;
    tkp.Privileges[0].Luid = sedebugnameValue;
    tkp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
    if( !AdjustTokenPrivileges(hToken, FALSE, &tkp, sizeof(tkp), NULL, NULL) )
    {
        CloseHandle(hToken);
        return false;
    }
    return true;
}

// 根據程序名稱得到程序ID,如果有多個執行例項的話，返回第一個列舉到的程序的ID
DWORD processNameToId(LPCTSTR lpszProcessName)
{
    HANDLE hSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
    PROCESSENTRY32 pe;
    pe.dwSize = sizeof(PROCESSENTRY32);
    if( !Process32First(hSnapshot, &pe) )
    {
        MessageBox( NULL,
                    "The frist entry of the process list has not been copyied to the buffer",
                    "Notice",
                    MB_ICONINFORMATION | MB_OK
                    );
        return 0;
    }
    while( Process32Next(hSnapshot, &pe) )
    {
        if( !strcmp(lpszProcessName, pe.szExeFile) )
        {
            return pe.th32ProcessID;
        }
    }
    return 0;
}

int main(int argc, char* argv[])
{
    // 定義執行緒體的大小
    const DWORD dwThreadSize = 5 * 1024;
    DWORD dwWriteBytes;
    // 提升程序訪問許可權
    enableDebugPriv();
    // 等待輸入程序名稱，注意大小寫匹配
    std::cout << "Please input the name of target process !" << std::endl;
    char szExeName[MAX_PATH] = { 0 };
    std::cin >> szExeName;
    DWORD dwProcessId = processNameToId(szExeName);
    if( dwProcessId == 0 )
    {
        MessageBox( NULL,
                    "The target process have not been found !",
                    "Notice",
                    MB_ICONINFORMATION | MB_OK
                    );
        return -1;
    }

    // 根據程序ID得到程序控制代碼
    HANDLE hTargetProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, dwProcessId);
    if( !hTargetProcess )
    {
        MessageBox( NULL,
                    "Open target process failed !",
                    "Notice",
                    MB_ICONINFORMATION | MB_OK
                    );
        return 0;
    }

    // 在宿主程序中為執行緒體開闢一塊儲存區域
    // 在這裡需要注意MEM_COMMIT記憶體非配型別以及PAGE_EXECUTE_READWRITE記憶體保護型別
    // 其具體含義請參考MSDN中關於VirtualAllocEx函式的說明。
    void* pRemoteThread = VirtualAllocEx(   hTargetProcess,
                                            0,
                                            dwThreadSize,
                                            MEM_COMMIT , PAGE_EXECUTE_READWRITE);
    if( !pRemoteThread )
    {
        MessageBox( NULL,
                    "Alloc memory in target process failed !",
                    "notice",
                    MB_ICONINFORMATION | MB_OK
                    );
        return 0;
    }
    // 設定需要注入的DLL名稱
    char szDll[256];
    memset(szDll, 0, 256);
    strcpy(szDll, "E:\\mydll.dll");
    // 拷貝注入DLL內容到宿主空間
    if( !WriteProcessMemory(    hTargetProcess,
                                pRemoteThread,
                                (LPVOID)szDll,
                                dwThreadSize,
                                0) )
    {
        MessageBox( NULL,
                    "Write data to target process failed !",
                    "Notice",
                    MB_ICONINFORMATION | MB_OK
                    );
        return 0;
    }

    LPVOID pFunc = LoadLibraryA;
    //在宿主程序中建立執行緒
    HANDLE hRemoteThread = CreateRemoteThread(  hTargetProcess,
                                                NULL,
                                                0,
                                                (LPTHREAD_START_ROUTINE)pFunc,
                                                pRemoteThread,
                                                0,
                                                &dwWriteBytes);
     if( !hRemoteThread )
     {
         MessageBox(    NULL,
                        "Create remote thread failed !",
                        "Notice",
                        MB_ICONINFORMATION | MB_OK
                        );
         return 0;
     }
     // 等待LoadLibraryA載入完畢
     WaitForSingleObject(hRemoteThread, INFINITE );
     VirtualFreeEx(hTargetProcess, pRemoteThread, dwThreadSize, MEM_COMMIT);
     CloseHandle( hRemoteThread );
     CloseHandle( hTargetProcess );
     return 0;
}
 
 
實驗的標準DLL檔案：
// mydll.cpp : Defines the entry point for the DLL application.
//
#include "stdafx.h"
DWORD WINAPI MyThreadProc1( LPVOID pParam );
DWORD WINAPI MyThreadProc2( LPVOID pParam );
 
BOOL APIENTRY DllMain( HANDLE hModule,
                       DWORD  ul_reason_for_call,
                       LPVOID lpReserved
                     )
{
    switch ( ul_reason_for_call )
    {
        case DLL_PROCESS_ATTACH:
        {
            MessageBox( NULL, "DLL已進入目標程序。", "資訊", MB_ICONINFORMATION );
            DWORD dwThreadId;
            HANDLE myThread1 = CreateThread(NULL, 0, (LPTHREAD_START_ROUTINE)MyThreadProc1, NULL, 0, &dwThreadId);
            HANDLE myThread2 = CreateThread(NULL, 0, (LPTHREAD_START_ROUTINE)MyThreadProc2, NULL, 0, &dwThreadId);
            break;
        }
        case DLL_PROCESS_DETACH:
        {
            MessageBox( NULL, "DLL已從目標程序解除安裝。", "資訊", MB_ICONINFORMATION );
            break;
        }
    }
    return TRUE;
}
 
DWORD WINAPI MyThreadProc1( LPVOID pParam )
{
    MessageBox( NULL, "DLL已進入執行緒1。", "資訊", MB_ICONINFORMATION );
    return 0;
}

DWORD WINAPI MyThreadProc2( LPVOID pParam )
{
    MessageBox( NULL, "DLL已進入執行緒2。", "資訊", MB_ICONINFORMATION );