内容摘要：把DLL注入工具说成“黑客专属”不太准确。我最早接触这类工具，是为了给一个老游戏加帧率补丁——官方早就不更新了，只能自己把写好的DLL塞进进程里。那会儿用的还是最原始的CreateRemoteThre

把DLL注入工具说成“黑客专属”不太准确。入工我最早接触这类工具，入工是入工为了给一个老游戏加帧率补丁——官方早就不更新了，只能自己把写好的入工DLL塞进进程里。那会儿用的入工还是最原始的CreateRemoteThread，代码不到五十行，入工编译出来一个exe，入工双击，入工游戏窗口没崩，入工补丁生效了。入工那种感觉比玩游戏本身还有意思。入工

DLL注入的入工本质就一句话：让目标进程加载一个它原本不会加载的动态链接库。Windows没给普通用户开这个后门，入工但API留了一堆缝隙。入工最经典的入工路子是OpenProcess拿到句柄，VirtualAllocEx在对方地盘划一块内存，WriteProcessMemory把DLL路径写进去，再GetProcAddress找到LoadLibraryA的地址，CreateRemoteThread一跑，完事。听起来顺溜，实际写起来全是坑。比如目标进程是64位的，你编译个32位注入器，OpenProcess直接返回NULL，连错误码都懒得给你解释。

后来微软自己堵了一些路。从Vista开始，Session 0隔离让跨会话注入变得麻烦；再后来Protected Process Light一上，想注入杀毒软件或者系统关键进程？门都没有。但道高一尺魔高一丈，注入手法反而越来越花。AppInit_DLLs算老牌选手，改注册表就行，缺点是全局生效，容易把整个系统搞蓝屏。SetWindowsHookEx更隐蔽，钩个键盘消息，DLL就跟着消息循环进去了，但只对带消息队列的进程有效。还有更野的——反射注入，DLL自己不落盘，直接在内存里展开，连LoadLibrary都不调用，杀软扫文件系统根本扫不到。

我见过一个案例。某公司内网有台机器中了挖矿木马，进程列表里找不到异常，网络流量却一直往外跑。后来用Process Explorer一看，一个正经的svchost.exe里加载了个没签名的DLL，路径指向C:\Windows\Temp下一个随机命名的文件。木马用的就是反射注入，落地文件早删了，内存里跑得好好的。清理的时候直接结束进程没用，得先把那个DLL的内存页标记成不可执行，再强制卸载。这种活，没点底层功底真干不了。

工具本身没有善恶。Process Hacker、Extreme Injector、Xenos，这些开源或者半开源的注入器，搞逆向的用来调试，做外挂的用来作弊，安全研究员用来做漏洞利用演示。区别只在于你拿它干什么。我自己的习惯是，测试环境里随便折腾，生产机器上绝对不碰。有一次手滑，往自己办公电脑的explorer.exe里注了个测试DLL，结果资源管理器无限重启，桌面图标闪了十分钟才恢复。从那以后，虚拟机快照成了标配。

如果你只是想学原理，别急着找现成工具。拿Visual Studio建个空项目，手写一遍CreateRemoteThread的流程，把每一步的返回值都打印出来。遇到ERROR_ACCESS_DENIED就查权限，遇到ERROR_PARTIAL_COPY就查位数匹配。等你能稳定注入记事本并且让它弹个MessageBox，再去看那些花哨的注入框架，会发现底层逻辑还是那几行代码。工具只是壳，理解进程内存布局和Windows加载器的工作方式，才是真正值钱的东西。