远程线程方式下的DLL注入

远线程注入 每个进程都有自己的虚拟地址空间，对32位进程来说，这个地址空间的大小为4GB。因为每个进程都有自己专有的地址空间，当进程的各个线程运行的时候，它们只能够访问属于自己进程的内存。这样做的一个好处是维护系统的安全，防止进程的私有空间被入侵。世界上有了矛就有了盾，windows也撕开了一个小口，提供了一些函数来让其它进程对另一个进程进行操作，当然亦邪亦正，全在于你。大名鼎鼎的CreateRemoteThread就是属于这样的函数。 远线程注入的基本原理就是通过在另一个进程中创建远程线程的方法进入目标进程的内存地址空间。使用插入到目标进程中的远程线程将该DLL插入到目标进程的地址空间，即利用该线程通过调用Windows API LoadLibrary函数来加载DLL，从而实现获取目标进程空间的使用权。如下摘自ReactOS 3.14的代码所示，CreateRemoteThread实际实现的功能就是调用NtCreateThread创建一个属于目标进程的线程。